本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
使用讓我們加密 SSL 憑證來保護您的 Lightsail LAMP 執行個體
透過使用 Lightsail 負載平衡器，亞馬遜 Lightsail 可以透過 SSL/TLS 輕鬆保護您的網站和應用程式。但是，使用 Lightsail 負載平衡器通常不是正確的選擇。或許您的網站不需要負載平衡器提供的擴展能力或容錯能力，或者您是要最佳化成本。
在後者的情況中，您可能會考量使用 Let's Encrypt 以取得免費的 SSL 憑證。若是如此，則無問題。您可以將這些憑證與 Lightsail 執行個體整合。本教學課程說明如何使用 Certbot 請求 Let's Encrypt 萬用字元憑證，並將其與 LAMP 執行個體整合。
重要
-
Bitnami 執行個體所使用的 Linux 發行版本已在 2020 年 7 月從 Ubuntu 變更為 Debian。由於這項變更，本教學課程中的部分步驟會根據執行個體的 Linux 發行版本而有所不同。變更後才建立的所有 Bitnami 藍圖執行個體均會使用 Debian Linux 發行版本。在變更之前建立的執行個體將繼續使用 Ubuntu Linux 發行版本。若要檢查執行個體的分發，請執行
uname -a命令。該回應會將執行個體的 Linux 發行版本顯示為 Ubuntu 或 Debian。 -
Bitnami 正在修改其許多堆疊的檔案結構。本教學課程中的檔案路徑可能會根據您的 Bitnami 堆疊是否使用原生 Linux 系統套件 (方法 A)，或是否為獨立安裝 (方法 B) 而變更。若要識別您的 Bitnami 安裝類型以及要遵循的方法，請執行下列命令
test ! -f "/opt/bitnami/common/bin/openssl" && echo "Approach A: Using system packages." || echo "Approach B: Self-contained installation."
內容
步驟 1：完成先決條件
請先完成事前準備 (若尚未完成)：
-
在 Lightsail 中建立 LAMP 執行個體。若要進一步了解，請參閱建立執行個體。
-
註冊網域名稱，並取得管理存取以編輯其 DNS 記錄。若要進一步了解，請參 Amazon Lightsail DNS。
注意
建議您使用 Lightsail DNS 區域管理網域的 DNS 記錄。若要進一步了解，請參閱建立 DNS 區域以管理域的 DNS 記錄。
-
使用 Lightsail 主控台中以瀏覽器為基礎的 SSH 終端機來執行本教學課程中的步驟。然而，您也可以使用自己的 SSH 用戶端，例如 PuTTY。若要進一步了解如何設定 PuTTY，請參閱下載和設定 PuTTY 以使用 SSH 進行連線。
完成先決條件後，請繼續前往本教學課程的下一節。
步驟 2：在 執行個體安裝 Certbot
Certbot 是一種用戶端，用於從 Let’s Encrypt 請求憑證並將其部署至 Web 伺服器。Let's Encrypt 使用 ACME 協助發出憑證，而 Certbot 是一種啟用 ACME 的用戶端，可與 Let's Encrypt 互動。
若要在您的執行個體上安裝切爾特博特
-
登入主 Li ghtsail 台
。 -
在 Lightsail 首頁上，針對您要連線的執行個體選擇安全殼層快速連線圖示。
-
連線 Lightsail 瀏覽器型 SSH 工作階段之後，請輸入下列命令以更新執行個體上的套件：
sudo apt-get update
-
輸入下列命令以安裝軟體屬性套件。Certbot 的開發人員使用個人套件存檔 (PPA) 分發 Certbot。軟體屬性套件可讓 PPA 的使用更有效率。
sudo apt-get install software-properties-common注意
如果您在執行
Could not get lock命令時遭遇sudo apt-get install錯誤，請等待大約 15 分鐘後再試一次。此錯誤可能是由使用 Apt 套件管理工具安裝自動升級的 cron 任務所引起的。 -
輸入下列命令以新增 Certbot 至本機 apt 儲存庫：
注意
步驟 5 僅適用於使用 Ubuntu Linux 發行版本的執行個體。如果您的執行個體使用 Debian Linux 發行版本，請略過此步驟。
sudo apt-add-repository ppa:certbot/certbot -y -
輸入下列命令更新 apt 以包含新的儲存庫：
sudo apt-get update -y -
輸入下列命令以安裝 Certbot：
sudo apt-get install certbot -y現在，Certbot 已安裝在您的執行個體上。
-
讓瀏覽器型 SSH 終端機視窗保持開啟 - 稍後您會在此教學課程中回到此處。繼續前往本教學課程的下一節。
步驟 3：請求 Let’s Encrypt SSL 萬用字元憑證
開始從 Let’s Encrypt 請求憑證的程序。使用 Certbot (請求萬用字元憑證) 可讓您針對網域及其子網域使用單一憑證。例如，單一萬用字元憑證適用於 example.com 頂層網域，以及 blog.example.com、stuff.example.com 子網域。
請求 Let’s Encrypt SSL 萬用字元憑證
-
在與本教學課程步驟 2 使用的相同瀏覽器型 SSH 終端機視窗中，輸入下列命令為您的網域設定環境變數。您現在可以更有效率複製和貼上命令以取得憑證。
DOMAIN=DomainWILDCARD=*.$DOMAIN在命令中，將
Domain取代為您的註冊網域名稱。範例：
DOMAIN=example.comWILDCARD=*.$DOMAIN -
輸入下列命令確認變數傳回正確的值：
echo $DOMAIN && echo $WILDCARD您應該會看到類似以下的結果：
-
在互動式模式中輸入下列命令啟動 Certbot。此命令會通知 Certbot 使用手動授權方法搭配 DNS 查問以驗證網域所有權。這會為您的頂層網域及其子網域請求萬用字元憑證。
sudo certbot -d $DOMAIN -d $WILDCARD --manual --preferred-challenges dns certonly -
在提示時輸入您的電子郵件地址，這會用於續約和安全性注意事項。
-
閱讀 Let’s Encrypt 服務條款。完成時，如果您同意請按 A。如果您不同意，就無法取得 Let’s Encrypt 憑證。
-
根據分享您電子郵件地址的提示和關於您 IP 地址被記錄的警告做出回應。
-
Let’s Encrypt 現在會提示您確認您擁有所指定的網域。要這麼做，請新增 TXT 記錄至網域的 DNS 記錄。這會提供一組 TXT 記錄值，如以下範例所示：
注意
Let's Encrypt 可能會提供一或多個必須用於驗證的 TXT 記錄。在此範例中，我們有兩個 TXT 記錄可用於驗證。
-
讓 Lightsail 瀏覽器型 SSH 工作階段保持開啟狀態，您稍後會在本教學課程中回到該工作階段。繼續前往本教學課程的下一節。
步驟 4：新增 TXT 記錄至域的 DNS 區域
新增 TXT 記錄至網域的 DNS 區域可驗證您擁有網域。為了進行示範，我們會使用 Lightsail DNS 區域。然而，通常由網域註冊商託管的其他 DNS 區域可能會採取類似步驟。
注意
若要深入瞭解如何為您的網域建立 Lightsail DNS 區域，請參閱在 Lightsail 中建立 DNS 區域以管理網域的 DNS 記錄。
若要將 TXT 記錄新增至您網域的 DNS 區 Lightsail
-
選擇 Lightsail 首頁上的 Domains & DNS (網域和 DNS) 索引標籤。
-
在頁面的 DNS zones (DNS 區域) 部分，選擇您在 Certbot 憑證請求中所指定網域的 DNS 區域。
-
在 DNS 區域編輯器中，選擇 DNS records (DNS 記錄)。
-
選擇 Add record (新增記錄)。
-
在 Record type (記錄類型) 下拉式選單中，選擇 TXT record (TXT 記錄)。
-
將 Let's Encrypt 憑證請求指定的值輸入 Record name (記錄名稱) 和 Responds with (回應內容) 欄位。
注意
Lightsail 主控台會預先填入您網域的頂點部分。例如，如果您要新增
_acme-challenge.example.com_acme-challenge.example.com部分。 -
選擇儲存。
-
重複步驟 4 到 7 以新增第二組由 Let’s Encrypt 憑證請求指定的 TXT 記錄。
-
讓 Lightsail 主控台瀏覽器視窗保持開啟狀態，您稍後會在本教學課程中回到該視窗。繼續前往本教學課程的下一節。
步驟 5：確認 TXT 記錄已傳播
使用此公用 MxToolbox 程式來確認 TXT 記錄已傳播至網際網路的 DNS。DNS 記錄傳輸可能需要一些時間，這取決於您的 DNS 託管提供者，以及設定的 DNS 記錄存留時間 (TTL)。在繼續 Certbot 憑證請求之前，請務必完成此步驟，並確認 TXT 記錄已傳播。否則，您的憑證請求會失敗。
確認 TXT 記錄已傳播至網際網路的 DNS
-
開啟新的瀏覽器視窗並前往 https://mxtoolbox.com/TXTLookup.aspx
。 -
將以下文字輸入文字方塊。
_acme-challenge.Domain將
Domain取代您的註冊網域名稱。範例：
_acme-challenge.example.com
-
選擇 TXT Lookup (TXT 查詢) 以執行檢查。
-
這會產生以下其中一個回應：
-
如果您的 TXT 記錄已傳播至網際網路的 DNS，您會看到類似以下螢幕擷取畫面的回應。關閉瀏覽器視窗，並繼續前往本教學課程的下一節。
-
如果 TXT 記錄未傳播至網際網路的 DNS，您會看見 DNS Record not found (找不到 DNS 記錄) 回應。確認您已新增正確 DNS 記錄至網域的 DNS 區域。如果您新增了正確記錄，請再等待片刻讓網域的 DNS 記錄傳播，接著再次執行 TXT 查詢。
-
步驟 6：完成 Let’s Encrypt SSL 憑證請求
返回 LAMP 執行個體的 Lightsail 瀏覽器型 SSH 工作階段，並完成「讓我們加密」憑證要求。Certbot 會將 SSL 憑證、鏈及金鑰檔案儲存至 LAMP 執行個體上的特定目錄。
完成 Let’s Encrypt SSL 憑證請求
-
在 LAMP 執行個體的 Lightsail 瀏覽器型 SSH 工作階段中，按 Enter 繼續您的 [讓我們加密 SSL 憑證要求]。如果成功，則會顯示與以下螢幕擷取畫面類似的回應：
訊息會確認您的憑證、鏈和金鑰檔案存放於
/etc/letsencrypt/live/目錄。Domain/Domain是您已註冊的網域名稱，例如，/etc/letsencrypt/live/。example.com/ -
記下訊息中指定的過期日期。您可將其用於在該日期續約憑證。
-
既然您擁有 Let’s Encrypt 憑證，就請繼續前往本教學課程的下一節。
步驟 7：在 Apache 伺服器目錄中建立連結到 Let’s Encrypt 憑證檔案
在 LAMP 執行個體上的 Apache 伺服器目錄建立至 Let's Encrypt SSL 憑證檔案的連結。此外，請備份現有的憑證，以防您稍後需要用到。
若要在 Apache 伺服器目錄建立至 Let's Encrypt 憑證檔案的連結
-
在 LAMP 執行個體的 Lightsail 瀏覽器型 SSH 工作階段中，輸入下列命令以停止基礎 LAMP 堆疊服務：
sudo /opt/bitnami/ctlscript.sh stop您應該會看到類似以下的回應：
-
輸入下列命令以設定網域的環境變數。
DOMAIN=Domain在命令中，將
Domain取代為您的註冊網域名稱。範例：
DOMAIN=example.com -
輸入下列命令確認變數傳回正確的值：
echo $DOMAIN您應該會看到類似以下的結果：
-
個別輸入下列命令，以重新命名現有的憑證檔案做為備份。請參閱本教學課程開頭的重要區塊，以取得有關不同發行版本和檔案結構的資訊。
-
Debian Linux 發行版本
方法 A (使用系統套件的 Bitnami 安裝)：
sudo mv /opt/bitnami/apache2/conf/bitnami/certs/server.crt /opt/bitnami/apache2/conf/bitnami/certs/server.crt.oldsudo mv /opt/bitnami/apache2/conf/bitnami/certs/server.key /opt/bitnami/apache2/conf/bitnami/certs/server.key.old方法 B (獨立的 Bitnami 安裝)：
sudo mv /opt/bitnami/apache2/conf/server.crt /opt/bitnami/apache2/conf/server.crt.oldsudo mv /opt/bitnami/apache2/conf/server.key /opt/bitnami/apache2/conf/server.key.old -
對於使用 Ubuntu Linux 發行版本的較舊執行個體：
sudo mv /opt/bitnami/apache/conf/bitnami/certs/server.crt /opt/bitnami/apache/conf/bitnami/certs/server.crt.oldsudo mv /opt/bitnami/apache/conf/bitnami/certs/server.key /opt/bitnami/apache/conf/bitnami/certs/server.key.old
-
-
單獨輸入下列命令，在 apache2 伺服器目錄中建立 Let's Encrypt 憑證檔案的連結：請參閱本教學課程開頭的重要區塊，以取得有關不同發行版本和檔案結構的資訊。
-
Debian Linux 發行版本
方法 A (使用系統套件的 Bitnami 安裝)：
sudo ln -sf /etc/letsencrypt/live/$DOMAIN/privkey.pem /opt/bitnami/apache2/conf/bitnami/certs/server.keysudo ln -sf /etc/letsencrypt/live/$DOMAIN/fullchain.pem /opt/bitnami/apache2/conf/bitnami/certs/server.crt方法 B (獨立的 Bitnami 安裝)：
sudo ln -sf /etc/letsencrypt/live/$DOMAIN/privkey.pem /opt/bitnami/apache2/conf/server.keysudo ln -sf /etc/letsencrypt/live/$DOMAIN/fullchain.pem /opt/bitnami/apache2/conf/server.crt -
對於使用 Ubuntu Linux 發行版本的較舊執行個體：
sudo ln -s /etc/letsencrypt/live/$DOMAIN/privkey.pem /opt/bitnami/apache/conf/bitnami/certs/server.keysudo ln -s /etc/letsencrypt/live/$DOMAIN/fullchain.pem /opt/bitnami/apache/conf/bitnami/certs/server.crt
-
-
輸入下列命令以啟動您先前停止的基礎 LAMP 堆疊服務：
sudo /opt/bitnami/ctlscript.sh start您應該會看到類似以下的結果：
您的 LAMP 執行個體現在已設定為使用 SSL 加密。然而，流量不會從 HTTP 自動重新引導至 HTTPS。
-
繼續前往本教學課程的下一節。
步驟 8：為 Web 應用程式設定 HTTP 至 HTTPS 重新引導
您可以為你的 LAMP 執行個體設定 HTTP 至 HTTPS 重新引導。從 HTTP 自動重新引導至 HTTPS 會讓客戶只能使用 SSL 存取網站，即使他們使用 HTTP 進行連線也是如此。
為 Web 應用程式設定 HTTP 至 HTTPS 重新引導
-
在 LAMP 執行個體的 Lightsail 瀏覽器型 SSH 工作階段中，輸入下列命令，以使用 Vim 文字編輯器編輯 Apache 網頁伺服器設定檔：
sudo vim /opt/bitnami/apache2/conf/bitnami/bitnami.conf注意
此教學課程使用 Vim 做為示範；然而，您可以在此步驟選擇任何文字編輯器。
-
按
i進入 Vim 編輯器的插入模式。 -
在檔案中，於
DocumentRoot "/opt/bitnami/apache2/htdocs"和<Directory "/opt/bitnami/apache2/htdocs">之間輸入以下文字：RewriteEngine On RewriteCond %{HTTPS} !=on RewriteRule ^/(.*) https://%{SERVER_NAME}/$1 [R,L]結果應如下列範例所示：
-
按 ESC (ESC) 鍵，接著輸入
:wq以寫入 (儲存) 您的編輯，然後退出 Vim。 -
輸入下列命令重新啟動基礎 LAMP 堆疊服務並使您的編輯生效：
sudo /opt/bitnami/ctlscript.sh restart您的 LAMP 執行個體現在已設定為自動將連線從 HTTP 重新引導至 HTTPS。當訪客前往
http://www.example.com時，系統會自動重新引導至加密的https://www.example.com地址。
步驟 9：每 90 天續約 Let's Encrypt 憑證
Let's Encrypt 憑證有效期為 90 天。您可以憑證過期前 30 天內進行續約。若要更新 Let's Encrypt 憑證，請執行原始命令來取得憑證。重複本教學課程的請求 Let's Encrypt SSL 萬用字元憑證一節中的步驟。
