Solicite um certificado Let's Encrypt

Você pode solicitar um certificado Let’s Encrypt™ para os domínios de um workload pelo Azion Console, pela Azion CLI ou pela API. Para usar um certificado obtido de outra autoridade certificadora, consulte Envie um certificado digital.

HTTPS no seu próprio hostname precisa de um certificado de servidor que o cubra, porque o certificado SAN padrão da Azion cobre apenas o workload domain e o Azion Custom Domain. Com um certificado Let’s Encrypt, Certificate Manager cuida do certificado por você. A Azion solicita o certificado ao Let’s Encrypt, conclui o desafio que prova que você controla cada hostname e renova o certificado antes que ele expire. Alguns clientes mais antigos não conseguem validar a cadeia de um certificado Let’s Encrypt. Para saber quais clientes, consulte Cadeia de certificados.

Uma conta que opera na API v3 com Domains seleciona o certificado em cada domínio, em vez disso. Para mais informações, consulte Domains.

Pré-requisitos

Prepare os registros DNS para o desafio

O Let’s Encrypt emite o certificado apenas depois de validar todos os hostnames da solicitação. O desafio que você escolhe e o provedor que mantém a zona decidem quais registros DNS devem existir antes de você enviar a solicitação:

Com DNS-01 e uma zona em outro provedor de DNS, crie o registro _acme-challenge de cada hostname nesse provedor antes de enviar a solicitação. A tabela abaixo traz o nome e o valor dele. Com a zona no Edge DNS, a Azion grava o registro na zona e o desafio é concluído sem nenhuma ação sua. Escolha DNS-01 quando um hostname ainda não aponta para a Azion, como durante uma migração de outro provedor. Para saber como cada desafio valida um hostname, consulte Validação de domínio.

No seu provedor de DNS, crie os registros que o seu desafio precisa, uma linha por hostname:

Quando o Edge DNS mantém a zona, crie o registro do hostname nele. Para um domínio apex, o registro em cada tipo de provedor e como verificar a resolução, consulte Aponte um domínio para um workload. Para registros e zonas no Edge DNS, consulte Guias e tutoriais de Edge DNS.

Mantenha o registro _acme-challenge enquanto um workload usar o certificado. A Azion renova o certificado 30 dias antes de ele expirar executando o desafio novamente, e um registro excluído faz a renovação falhar.

Solicite o certificado

Uma solicitação Let’s Encrypt nomeia o hostname principal como common name e, opcionalmente, outros hostnames como nomes alternativos. Todo nome deve pertencer a um domínio que a sua conta tem permissão para usar.

Um nome da solicitação para o qual a sua conta não tem permissão é recusado. A Azion CLI imprime a recusa como:

Para as causas e as correções, consulte Solucionar problemas de Workloads. Um workload não pode listar um hostname wildcard, então o Console não pode solicitar um certificado wildcard. Para solicitar um com o desafio DNS-01, consulte Solicite um certificado Let’s Encrypt com a API.

Vincule o certificado ao workload

Um certificado protege o tráfego HTTPS apenas depois que um workload o nomeia no seu campo tls.certificate. O preset do Console vincula o certificado que ele solicita. Um certificado que você solicitou com a Azion CLI ou com a API precisa deste vínculo.

Uma mudança no workload leva vários minutos para alcançar toda a infraestrutura distribuída da Azion, e as requisições podem receber a configuração antiga ou a nova nesse intervalo. Depois que o certificado é emitido e a mudança se propaga, o certificado mostra active e protege o HTTPS nos domínios do workload.

Verifique o status da emissão

A Azion faz a primeira tentativa de emitir o certificado em até 5 minutos depois da solicitação. O campo status do certificado mostra em que ponto a emissão está.

O certificado passa de pending para challenge_verification enquanto o desafio aguarda a validação. Depois que o Let’s Encrypt o emite, ele mostra active enquanto um workload o nomeia, e inactive caso contrário. Quando a validação falha, ele mostra failed, e status_detail nomeia o hostname a verificar, como An error has occurred while issuing the requested certificate. Please verify the following domains CNAME: www.example.com.

Uma tentativa que falha é repetida em um cronograma, então um registro que você corrige depois ainda pode terminar em uma emissão automática. Para o cronograma de novas tentativas, consulte Tempo de emissão e novas tentativas. Para um certificado que fica pending ou passa a failed, consulte Solucionar problemas de Workloads.

Vincule o certificado a um domínio v3

Uma conta que opera na API v3 tem Domains em vez de workloads e seleciona o certificado no domínio. Para saber qual modelo sua conta usa, consulte Verifique a migração da sua conta.

O restante desta página vale para um domínio v3 como está escrito. Os registros de DNS do desafio são os mesmos registros, e o status de emissão é o status do mesmo certificado.

Para solicitar o certificado a partir de um domínio no Azion Console:

O certificado é emitido pelo desafio DNS-01. Um hostname cuja zona está no Edge DNS é validado sem trabalho adicional. Para uma zona em outro provedor, crie o registro CNAME _acme-challenge de que o desafio precisa. A seção Prepare os registros de DNS para o desafio descreve esse registro.

Próximos passos