随着技术的不断发展，SSL证书的有效期逐渐缩短，手动更新证书的方式不仅繁琐，还容易因疏忽导致证书过期，从而影响平台的正常运行。因此，实现SSL证书的自动更新成为保障开发平台安全稳定运行的关键举措。

一、GitLab平台自动更新SSL证书

1. 准备工作

• 确认证书颁发机构：常见的证书颁发机构有Let's Encrypt、DigiCert等。若使用Let's Encrypt，因其提供免费且自动化程度高的证书服务，深受广大开发者喜爱。可通过官方文档了解其对GitLab平台的支持情况及具体要求。
• 安装Certbot工具：Certbot是Let's Encrypt 官方推荐的证书获取与管理工具。对于基于Debian或Ubuntu的系统，可在终端执行以下命令进行安装：

1    sudo apt-get update
2    sudo apt-get install certbot python3-certbot-nginx

对于CentOS系统，则需先安装EPEL仓库，再安装Certbot：

1    sudo yum install epel-release
2    sudo yum install certbot python3-certbot-nginx

2. 配置GitLab以支持自动更新

• 备份现有配置：在进行任何配置更改前，务必备份GitLab的配置文件。一般情况下，GitLab的配置文件位于/etc/gitlab/gitlab.rb。执行以下命令进行备份：

1    sudo cp /etc/gitlab/gitlab.rb /etc/gitlab/gitlab.rb.backup

• 修改GitLab配置：打开/etc/gitlab/gitlab.rb文件，找到并修改以下配置项：

1    external_url 'https://gitlab.example.com'
2    nginx['redirect_http_to_https'] = true
3    nginx['ssl_certificate'] = "/etc/letsencrypt/live/gitlab.example.com/fullchain.pem"
4    nginx['ssl_certificate_key'] = "/etc/letsencrypt/live/gitlab.example.com/privkey.pem"

将gitlab.example.com替换为实际的GitLab域名。这些配置确保GitLab通过HTTPS协议访问，并指定了SSL证书和私钥的路径。

• 重新配置GitLab：修改完配置文件后，在终端执行以下命令使配置生效：

sudo gitlab-ctl reconfigure

3. 设置自动更新任务

• 使用Certbot自动更新脚本：Certbot提供了自动更新证书的脚本。执行以下命令获取并更新证书：

1    sudo certbot renew --dry-run

--dry-run参数用于模拟更新过程，确保更新过程无问题后，可去掉该参数正式执行更新。

• 配置定时任务：为实现证书的自动定期更新，可借助系统的定时任务工具Cron。编辑Cron表：

1    sudo crontab -e

在打开的文件中添加以下内容，设置每周一凌晨 2 点自动更新证书：

1    0 2 * * 1 /usr/bin/certbot renew --quiet --post-hook "systemctl reload nginx"

--quiet参数使更新过程在后台安静执行，--post-hook参数指定更新完成后重新加载Nginx服务，使新证书生效。

二、Jenkins平台自动更新SSL证书

1. 准备工作

• 获取证书：同样可选择Let's Encrypt 等证书颁发机构获取证书。若使用Let's Encrypt，可参考其官方文档，根据Jenkins所在服务器的操作系统类型，选择合适的方式获取证书。例如，对于基于Java的Jenkins，可通过Certbot配合Java的Keytool工具来处理证书。
• 安装相关插件（若有必要）：Jenkins的一些插件可辅助证书管理，如 “SSL Terminator” 插件。在Jenkins的管理界面，依次点击 “ManageJenkins” -> “Manage Plugins”，在搜索框中输入插件名称，找到后点击安装并等待安装完成。

2. 配置Jenkins以支持自动更新

• 备份Jenkins配置：Jenkins的配置文件通常位于/var/lib/jenkins目录下的config.xml文件。执行以下命令进行备份：

1    sudo cp /var/lib/jenkins/config.xml /var/lib/jenkins/config.xml.backup

• 修改Jenkins配置：打开config.xml文件，找到<securityRealm>和<authorizationStrategy>等相关配置段。若使用SSL证书，需确保以下配置正确：

1    <useSecurity>true</useSecurity>
2    <securityRealm class="hudson.security.HudsonPrivateSecurityRealm">
3      <!-- 相关安全领域配置 -->
4    </securityRealm>
5    <authorizationStrategy class="hudson.security.AuthorizationStrategy$Unsecured">
6      <!-- 授权策略配置 -->
7    </authorizationStrategy>
8    <disableRememberMe>false</disableRememberMe>
9    <globalNodeProperties/>
10  <location>
11    <url>https://jenkins.example.com/</url>
12  </location>

将jenkins.example.com替换为实际的Jenkins域名。确保<url>标签中的地址为HTTPS协议，并与证书绑定的域名一致。

• 配置SSL证书路径（若需手动指定）：若Jenkins需要手动指定证书路径，可在config.xml文件中添加或修改以下内容：

1    <jetty>
2      <enableSsl>true</enableSsl>
3      <keystore>/path/to/your/keystore</keystore>
4      <keypassword>your_keystore_password</keypassword>
5      <password>your_keystore_password</password>
6    </jetty>

将/path/to/your/keystore替换为实际的证书存储路径，your_keystore_password替换为证书密码。

3. 设置自动更新任务

• 编写更新脚本：可编写一个Shell脚本或Python脚本用于自动更新证书。以下是一个简单的基于Certbot的Shell脚本示例：

1    #!/bin/bash
2    certbot renew --quiet
3    if [ $? -eq 0 ]; then
4      # 重启Jenkins服务，不同操作系统命令可能不同
5      sudo systemctl restartJenkins
6    fi

将上述脚本保存为renew_jenkins_cert.sh，并赋予执行权限：

1    chmod +x renew_jenkins_cert.sh

• 配置定时任务：与GitLab类似，使用Cron配置定时任务。编辑Cron表：

1    sudo crontab -e

添加以下内容，设置每周日凌晨 3 点自动更新证书：

1    0 3 * * 0 /path/to/renew_jenkins_cert.sh

将/path/to/renew_jenkins_cert.sh替换为实际的脚本路径。

三、常见问题及解决方法

1. 证书验证失败

• 原因：可能是域名解析问题、服务器网络故障或证书申请过程中的参数错误。
• 解决方法：检查域名解析是否正确，确保域名能正常解析到服务器IP地址。排查服务器网络，确保服务器能正常访问互联网。仔细核对证书申请过程中的参数，如域名、联系人信息等。若使用Let's Encrypt，可查看其官方文档中关于证书验证失败的常见原因及解决方法。

2. 更新后平台无法访问

• 原因：可能是配置文件修改错误、服务重启失败或证书格式不兼容。
• 解决方法：对比备份的配置文件，检查更新过程中对GitLab或Jenkins配置文件的修改是否正确。查看服务日志，确定服务重启失败的原因。例如，对于GitLab，可查看/var/log/gitlab/nginx/error.log日志文件；对于Jenkins，可查看/var/log/jenkins/jenkins.log日志文件。若证书格式不兼容，可使用OpenSSL等工具将证书转换为正确格式。例如，将PEM格式证书转换为PKCS12格式：

1    openssl pkcs12 -export -in cert.pem -inkey key.pem -out cert.p12 -name "certificate"

3. 定时任务未执行

• 原因：可能是Cron配置错误、脚本路径错误或脚本执行权限不足。
• 解决方法：仔细检查Cron表中的配置，确保时间设置正确，任务命令无误。确认脚本路径是否正确，可使用绝对路径。检查脚本的执行权限，确保Cron用户（通常是root）具有执行脚本的权限。

通过以上详细步骤，可在GitLab和Jenkins等开发平台实现SSL证书的自动更新，有效提升平台的安全性和稳定性，为开发工作保驾护航。在实际操作过程中，需根据平台的具体版本和服务器环境进行适当调整，确保每个环节都正确无误。

Dogssl.cn拥有20年网络安全服务经验，提供构涵盖国际CA机构Sectigo、Digicert、GeoTrust、GlobalSign，以及国内CA机构CFCA、沃通、vTrus、上海CA等数十个SSL证书品牌。全程技术支持及免费部署服务，如您有SSL证书需求，欢迎联系!