证书推送云服务

云推送将平台已签发的证书更新到云平台的证书管理服务或具体业务资源，适合 CDN、负载均衡等无法直接运行部署工具的场景。新证书签发后，启用的部署目标可以自动推送，也可以手动触发。

使用前准备

• 平台已安装并启用云推送插件，账号中可以看到「云部署」。
• 准备云平台支持的授权凭证，以及要更新的域名、实例或监听器等资源信息。
• 订单已签发，并且平台持有对应私钥。自带 CSR、私钥只保留在本机的证书无法推送；国密 SM2 证书暂不支持。
• 如需持续更新，应另行配置自动签发；域名自动验证的原理见 自动验证与域名委托。云推送本身不替代申请和验证。

云推送会将证书和必要的私钥材料交付给所选云服务。授权账号应仅拥有目标产品所需的证书上传、资源查询及绑定权限，按资源范围收窄；不要使用不受限制的主账号密钥。

工作流程

CA 签发新证书 → 平台找到启用的部署目标 → 使用该目标绑定的云凭证
              → 上传证书 / 更新目标资源 → 查看推送记录 → 检查实际 HTTPS 服务

“上传到证书库”和“更新业务资源的证书绑定”是不同操作。只选择证书管理产品时，不应据此认为 CDN、负载均衡等业务已经切换证书。

第一步：添加云凭证

1. 打开「系统设置 → 云部署」，切换到「云凭证」。
2. 点击「新增凭证」，填写便于识别的凭证名，选择云平台。
3. 按表单填写该平台要求的授权字段并保存。不同平台可能使用 AccessKey、Token 或其他认证方式。

凭证可以供多个部署目标复用。更换或撤销云端密钥后，应同步更新平台中的凭证，否则后续推送会失败。

第二步：绑定部署目标

在「云部署 → 部署目标」点击「新增目标」，或从证书订单详情点击「绑定新目标」。

字段	如何填写
云凭证	选择具有目标资源权限的凭证
订单	按订单号或域名搜索；从订单详情绑定时使用当前订单
产品	选择实际使用的云产品，例如阿里云 CDN；可选项以平台页面为准
产品配置	根据表单填写地域、域名、实例 ID、监听器等参数
启用自动推送	开启后，新证书签发时可自动更新该目标

一张证书可以绑定多个目标，例如多个云平台或多个监听器。为每个资源分别核对配置，尤其注意云账号、地域以及证书覆盖的域名。

示例：推送到阿里云 CDN

先确保加速域名已存在于所选凭证对应的云账号中，且证书覆盖该域名。

1. 新增阿里云云凭证，填写表单要求的授权信息。
2. 新增目标并选择证书订单，产品选择「阿里云 CDN」。
3. 域名匹配模式先使用精确匹配（exact），加速域名填写实际域名，例如 www.example.com。
4. 按需要填写地域，开启「启用自动推送」并保存。
5. 点击该目标的「推送」，等待记录显示结果，再到 CDN 控制台和实际 HTTPS 地址检查证书。

首次接入建议先配置一个明确的加速域名，确认成功后再增加目标。其他云产品的字段不同，应根据所选产品表单配置。

第三步：推送并确认结果

• 单目标推送：在部署目标列表点击该行「推送」。
• 订单一键推送：在订单详情点击「一键推送」，向该订单启用的目标发起推送。
• 查看结果：在订单详情查看「推送记录」，或在「云部署 → 部署历史」查看执行记录。

提示“已发起推送”只表示任务已提交，最终结果以记录为准。即使平台记录成功，云平台仍可能需要传播时间；应检查真实访问地址所呈现证书的域名、序列号及到期时间。

新证书签发后，平台会对启用的目标触发自动推送。关闭「启用自动推送」用于暂停自动更新，不会禁止用户对单个目标手动点击推送。删除目标也不等于删除云端已上传或已绑定的证书。

常见问题

现象	检查与处理
没有「云部署」入口	请平台管理员确认插件已安装启用及账号入口是否可用
提示证书无私钥	自带 CSR 的证书不能通过此插件推送；使用平台生成 CSR 的证书，或通过本机部署流程管理
证书签发后可推送 / 没有可推送证书	等待订单签发完成，确认订单最新证书处于可推送状态
授权失败	检查密钥是否有效，以及账号是否拥有上传证书和更新该资源所需权限
资源找不到	核对云账号、地域、产品、实例或监听器 ID、加速域名
记录成功但网站仍显示旧证书	确认选择的是业务资源而非仅证书库，检查绑定、访问入口和云端传播状态
新证书没有自动更新	检查目标是否启用、签发是否完成以及部署历史；需要时请管理员检查任务处理状态

修复配置后可手动再次推送，并复查结果。不要依赖自动重试来等待证书到期前的最后一次更新。