IBM Cloud安装SSL证书方法
IBM Cloud平台支持多种SSL证书部署方式，包括通过Cloudflare集成、Load Balancer（NLB/ALB）、Code Engine、App Service及Custom Domains配置。实际部署中需区分证书类型（如DV/OV/国密SM2）、格式（PEM/PFX/JKS）及是否启用OCSP Stapling。从工程实践看，IBM Cloud原生负载均衡器仅接受PEM格式的完整证书链（含私钥、站点证书、中间CA），不支持PFX直接上传；若使用自签名或私有CA签发证书，必须手动导入根证书至IBM Cloud Trust Store——这是生产环境中最常见的信任失败根源。 IBM Cloud对TLS协议版本要求严格，默认禁用TLS 1.0/1.1，仅允许TLS 1.2+，且推荐启用TLS 1.3以满足CA/B Forum Baseline Requirements v2.0合规性。证书有效期不得超过398天（自2025年9月起强制执行），超期证书将被IBM Cloud自动拒绝绑定。
技术背景：IBM Cloud证书支持体系
IBM Cloud并非传统CA，而是依赖第三方权威CA（如Sectigo、Digicert、锐安信sslTrus）签发的证书进行HTTPS加密。其底层基础设施基于OpenSSL 3.0+与BoringSSL混合栈，对椭圆曲线（ECC P-256/P-384）和RSA 2048+/4096密钥长度完全兼容，但不支持纯SM2国密算法直通——若需国密HTTPS，必须通过IBM Cloud Front Door + 华测/沃通双证书网关方案实现。 值得注意的是，IBM Cloud Custom Domain绑定SSL证书时，DNS验证（DCV）仅支持HTTP-01与DNS-01两种方式，不支持邮箱验证；且通配符证书（*.example.com）无法用于根域名（example.com）的自动覆盖，必须显式添加SAN条目，否则浏览器将报错NET::ERR_CERT_COMMON_NAME_INVALID。
核心部署机制
通过IBM Cloud Load Balancer安装SSL证书
该方式适用于公网Web应用。操作路径为：Resource List → Network → Load Balancers → Select Instance → SSL/TLS → Upload Certificate。上传时必须提供三段式PEM内容：私钥（BEGIN RSA PRIVATE KEY）、站点证书（BEGIN CERTIFICATE）与中间证书（可合并为单个PEM文件）。若证书链缺失，Chrome/Firefox会显示“证书不受信任”，而Safari在iOS 17+上可能直接中断连接。
通过IBM Cloud Code Engine绑定自定义域名
适用于容器化服务。需先在Code Engine中创建Domain Resource，再运行命令：ibmcloud code domain-cert-create --domain example.com --cert-file cert.pem --key-file key.pem。注意：证书文件必须不含密码保护，且私钥不可加密（即无DEK-Info头），否则部署会静默失败。
通过IBM Cloud App Service配置HTTPS
该服务已逐步迁移至Cloud Foundry v3架构。证书需通过cf push --var ssl_cert=...方式注入，或使用cf curl /v3/certificates接口上传。工程经验表明：若应用使用Spring Boot内嵌Tomcat，必须额外配置server.ssl.key-store-type=PKCS12并转换证书为JKS/PKCS12格式，否则启动时报错“invalid keystore format”。
| ** - ** | 参考标准 | TopSSL专家建议 |
|---|---|---|
| 证书格式 | IBM Cloud官方仅接受PEM（Base64） | 使用SSL证书格式转换工具提前校验并合并证书链，避免现场调试耗时 |
| TLS版本 | 强制TLS 1.2+，默认启用1.3 | 在Nginx或Apache反向代理层关闭TLS 1.0/1.1后，务必测试iOS 14–15设备兼容性 |
| 域名验证 | 仅支持HTTP-01/DNS-01 | DNS验证推荐使用DNS解析记录查询确认TXT记录已全球生效 |
真实运维经验
2025年Q4某金融客户在IBM Cloud NLB上部署锐安信OV SSL证书时遭遇“ERR_SSL_VERSION_OR_CIPHER_MISMATCH”。排查发现：客户自建Nginx反向代理启用了chacha20-poly1305加密套件，而IBM Cloud NLB未同步开启对应ALPN协商。解决方案是统一采用ECDHE-ECDSA-AES256-GCM-SHA384套件，并在IBM Cloud控制台手动关闭“Cipher Suite Auto-Selection”。 另一个高频问题是证书续期后未更新ALB配置——IBM Cloud不会自动轮转证书，管理员必须手动触发“Replace Certificate”操作，否则旧证书到期后服务立即中断。我们建议将证书续期流程接入CI/CD流水线，配合免费ssl申请API实现自动化预警与部署。
常见问题
Q：IBM Cloud是否支持Let’s Encrypt免费SSL证书？ A：支持，但需通过ACME客户端（如acme.sh）在外部服务器申请后，手动上传PEM文件至Load Balancer或Code Engine；IBM Cloud不提供原生ACME集成。 Q：能否在IBM Cloud上部署国密SM2 SSL证书？ A：不能直连。必须采用“前端IBM Cloud ALB + 后端华测/沃通国密网关”两级架构，详见国密SSL证书部署指南。 Q：上传证书后HTTPS仍显示不安全，如何快速定位？ A：使用SSL证书检查工具验证证书链完整性、域名匹配度及OCSP响应状态，90%问题源于中间证书缺失。
京公网安备11010502031690号
网站经营企业工商营业执照
