windows在cygwin64下使用acme.sh批量簽發Let's Encrypt的ssl證書，並用powershell重新分配iis證書

来源:https://www.cnblogs.com/NickSmith/p/18270573
-Advertisement-
Play Games

表格示意： 標準 邏輯電平0 邏輯電平1 是否全雙工 抗干擾能力 TTL 輸出低電平<0.4V, 輸入低電平<=0.8V 輸出高電平>2.4V,輸入高電平>=2.0V 全雙工 差 RS232 +3～+15V -3～-15V 全雙工 強 RS485 +2V～+6V - 6V～- 2V 半雙工 很強 電 ...


使用前提

本腳本是在使用阿裡雲Windows伺服器的前提，如果使用其他dns服務，請參看acme.sh的dns相關文檔

配置好cygwin64、acme.sh並配置好阿裡雲賬戶，openssl最好也安裝上

cygwin64配置

如果windows server 08R2啟動安裝程式失敗，請使用cmd運行

setup-x86_64.exe --allow-unsupported-windows --site http://ctm.crouchingtigerhiddenfruitbat.org/pub/cygwin/circa/64bit/2024/01/30/231215 --no-verify

其他老舊系統請參考cygwin64官網網頁的How can I install the last Cygwin version for an old, unsupported Windows回答

acme.sh配置

openssl參考,添加-certpbe PBE-SHA1-3DES -keypbe PBE-SHA1-3DES -nomac 是為了應對pfx輸入密鑰不正確

最終路徑就是項目路徑

以下是batch腳本，請保存在autoacme.bat文件中

@echo off & setlocal EnableDelayedExpansion

:: 數組長度，不用管，會自己加值
set objLength=0
:: 公共證書備份路徑
set commonPath=E:\cert
:: cygwin64用戶路徑
set cygwinPath=E:\Cygwin64\home\Administrator
:: cygwin64內部用戶路徑
set cygwinUserPath=/home/Administrator
:: pfx文件密鑰，這裡的密鑰必須和powershell里的pfx密鑰一致
set pfxPassword=dgfdgsdfg

:: 如果公共路徑不存在，那麼創建,如果路徑已存在，不影響命令繼續執行
md %commonPath%

:: 證書在以下列表中添加即可
:: 指定功能變數名稱
set obj[%objLength%]*domain=www.test.com
:: 最終路徑
set obj[%objLength%]*path=D:\Web\Main

set /a objLength+=1
:: 指定功能變數名稱
set obj[%objLength%]*domain=buy.test.com
:: 最終路徑
set obj[%objLength%]*path=D:\Web\buy

set /a objLength+=1
:: 指定功能變數名稱
set obj[%objLength%]*domain=go.test.com
:: 最終路徑
set obj[%objLength%]*path=D:\Web\Go

:: 初始索引
set objIndex=0
:: 重試次數
set retryCnt=0
::迴圈
:loopStart
::判斷索引值是否大於數組長度，大於的話跳到結束，不大於的話繼續迴圈
if %objIndex% gtr %objLength% goto end

::初始化當前變數
set curr.domain=0
set curr.path=0
::重置重試次數
set /a retryCnt=0

:: delims==*表示使用=和*分割字元串，tokens=1-3是取切割後字元串的前1到3個，迴圈對象的每個屬性，%%i 是如 obj[0] 標識是第幾個對象， %%j 標識是對象的那個屬性，%%k 是指定對象屬性的值
for /f "usebackq delims==* tokens=1-3" %%i in (`set obj[%objIndex%]`) do (
    :: 賦值變數
    set curr.%%j=%%k
)

echo domain=%curr.domain%
echo path=%curr.path%

:: 登錄到cygwin使用acme.sh簽發證書，並將文件拷貝到公共證書目錄，並轉成pfx格式，密碼統一使用%pfxPassword%
echo 簽發%curr.domain%證書
:: 設置執行命令尾碼，這裡是acme.sh相關命令，修改dns api就在這裡
set issueCmd=--issue --dns dns_ali -d %curr.domain% --fullchain-file %cygwinUserPath%/.acme.sh/%curr.domain%_ecc/%curr.domain%.pem --key-file %cygwinUserPath%/.acme.sh/%curr.domain%_ecc/%curr.domain%.key
bash --login -i -c "acme.sh %issueCmd%"

echo 檢查%curr.domain%key文件大小和backup目錄是否存在文件
set byte=0
for %%A in ("%cygwinPath%\.acme.sh\%curr.domain%_ecc\%curr.domain%.key") do (
	set /a byte=%%~zA
)

echo %curr.domain%.key大小:%byte%位元組
:: 如果key文件大小為零
if %byte% equ 0 (
    if EXIST %cygwinPath%\.acme.sh\%curr.domain%_ecc\backup\key.bak (
        echo 檢查key.bak的大小
        for %%A in ("%cygwinPath%\.acme.sh\%curr.domain%_ecc\backup\key.bak") do (
            set /a byte=%%~zA
        )
        :: bak文件不為零，那麼拷貝覆蓋
        echo /backup/key.bak大小:%byte%位元組
        if %byte% equ 0 (
            echo 拷貝key.bak到根目錄
            copy %cygwinPath%\.acme.sh\%curr.domain%_ecc\backup\key.bak %cygwinPath%\.acme.sh\%curr.domain%_ecc\%curr.domain%.key /y
        ) else (
            :: 如果全部失敗，那麼直接重新申請
            :forceIssue
            echo 嘗試重新申請%curr.domain%證書第%retryCnt%次
            bash --login -i -c "acme.sh %issueCmd% --force"
            :: 重試一次，加一次次數
            set /a retryCnt+=1
        )
    )
)

echo 拷貝key文件到公共目錄
copy %cygwinPath%\.acme.sh\%curr.domain%_ecc\%curr.domain%.key %commonPath%\%curr.domain%.key /y

echo 賦予許可權
bash --login -i -c "chmod -R g+rw %cygwinUserPath%/.acme.sh/%curr.domain%_ecc"

echo 第一次檢查%curr.domain%.pfx文件是否存在
IF NOT EXIST %cygwinPath%\.acme.sh\%curr.domain%_ecc\%curr.domain%.pfx (
    echo openssl轉換pfx,因為acme.sh轉換失敗
    openssl pkcs12 -export -certpbe PBE-SHA1-3DES -keypbe PBE-SHA1-3DES -nomac -out %cygwinPath%\.acme.sh\%curr.domain%_ecc\%curr.domain%.pfx -inkey %cygwinPath%\.acme.sh\%curr.domain%_ecc\%curr.domain%.key -in %cygwinPath%\.acme.sh\%curr.domain%_ecc\%curr.domain%.cer -password pass:"%pfxPassword%"
)

echo 第二次檢查%curr.domain%.pfx文件是否存在
IF NOT EXIST %cygwinPath%\.acme.sh\%curr.domain%_ecc\%curr.domain%.pfx (
    IF %retryCnt% gtr 3 goto skipCurr 
    else goto forceIssue
)

echo 拷貝pfx文件到公共目錄
copy %cygwinPath%\.acme.sh\%curr.domain%_ecc\%curr.domain%.pfx %commonPath%\%curr.domain%.pfx /y

:: 如果pem格式文件不存在，那麼使用openssl轉換成pem格式
IF NOT EXIST %cygwinPath%\.acme.sh\%curr.domain%_ecc\%curr.domain%.pem (
    echo openssl轉換pem
    openssl pkcs12 -in %cygwinPath%\.acme.sh\%curr.domain%_ecc\%curr.domain%.pfx -out %cygwinPath%\.acme.sh\%curr.domain%_ecc\%curr.domain%.pem -nodes -password pass:"%pfxPassword%"
)

:: 拷貝pem文件到公共目錄
echo 拷貝pem到公共目錄
copy %cygwinPath%\.acme.sh\%curr.domain%_ecc\%curr.domain%.pem %commonPath%\%curr.domain%.pem /y

:: 拷貝證書到最終路徑，如果路徑相等會直接拷貝失敗，如果最終路徑不存在，也會拷貝失敗
echo 拷貝%curr.domain%證書到項目目錄
copy %commonPath%\%curr.domain%.pem %curr.path%\%curr.domain%.pem /y & copy %commonPath%\%curr.domain%.key %curr.path%\%curr.domain%.key /y & copy %commonPath%\%curr.domain%.pfx %curr.path%\%curr.domain%.pfx /y


:skipCurr
:: 索引+1
set /a objIndex=%objIndex% + 1
:: 繼續迴圈
goto loopStart

:end
:: 暫停看結果
:: pause
:: 執行完後退出
exit

PowerShell 腳本，使用前，更改執行策略

關於執行策略：
https://learn.microsoft.com/zh-cn/powershell/module/microsoft.powershell.core/about/about_execution_policies?view=powershell-7.4#powershell-execution-policies

Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope CurrentUser

將以下腳本保存為reissueIISCert.ps1文件

# 使用前先將策略設置為不嚴格 Set-ExecutionPolicy -ExecutionPolicy Unrestricted -Scope CurrentUser
# 保證證書有效的情況下再運行次腳本，將證書名稱、證書目錄、密鑰放入以下數組
# 公共證書密鑰
$pfxpassword = "dgfdgsdfg"
# 公共證書路徑
$pfxCommandDir= "E:\cert"
# 功能變數名稱
$domain="test.com"
# 伺服器上的證書與埠映射關係
$data = @(
    [pscustomobject]@{subDomain = 'www';port=443}
    [pscustomobject]@{subDomain = 'buy';port=8443}
    [pscustomobject]@{subDomain = 'go';port=7443}
)
$certRootStore = "localmachine"
$certStore = "My"
# 創建證書存儲
$store = new-object System.Security.Cryptography.X509Certificates.X509Store($certStore, $certRootStore) 
$store.open("MaxAllowed")

# 開始迴圈數組操作
foreach ($element in $data) {
    $pfxPath = "$($pfxCommandDir)\$($element.subDomain).$($domain).pfx"
    Write-Host $pfxPath
    # 創建pfx對象
    try {
        $certificateObject = New-Object System.Security.Cryptography.X509Certificates.X509Certificate2($pfxPath, $pfxpassword)
        # 存儲證書到個人
        $store.Add($certificateObject)
        Write-Host 導入證書成功
        $newThumbprint = $certificateObject.Thumbprint
        Write-Host 獲取證書信息成功
        $guid = New-Guid
        $applicationID = "{$($guid)}"
        $addr = "0.0.0.0:$($element.port)"
        Write-Host $addr $newThumbprint
        netsh http delete sslcert ipport=$addr
        netsh http add sslcert ipport=$addr certhash=$newThumbprint appid=$applicationID
    }
    catch {
        Write-Host "發生異常：$_"
        break
    }
}
# 關閉證書存儲
$store.close() 

# 執行完後退出
exit

創建任務計劃程式參考

將啟動程式設置為autoacme.bat即可，設置完成後，右鍵對應任務計劃程式->屬性->操作，在這一對話框中，將reissueIISCert.ps1加入到隊列中。在常規頁面中，勾選“不管用戶是否登錄都要運行”以及“使用最高許可權”，保存即可
任務計劃程式是按照順序執行的。


您的分享是我們最大的動力!

-Advertisement-
Play Games
更多相關文章
  • Win 安裝WSL+Ubuntu
    簡要：Win安裝WSL（Windows Subsystem for Linux）主要是在win系統可以運行linux系統，下麵詳解介紹如何安裝WSL和Ubuntu以及Ubuntu一些簡單配置 一、安裝WSL 可以參考官網內容->WSL相關介紹 1、使用圖像界面 打開控制面板（win+r輸入contr ...
  • 基於ESP8266網路天氣時鐘的OLED顯示
    基於ESP8266網路天氣時鐘的OLED顯示 註意修改 WiFi 名稱和密碼 需要申請【心知天氣】API私鑰 心知天氣URL：https://www.seniverse.com /* 參考： https://blog.csdn.net/weixin_44668788/article/details/ ...
  • 寄存器，觸發器，三極體小結
    寄存器，本質上就是單片機內部的RAM存儲器，用來暫時存放參與運算的數據和運算結果。一個寄存器由若幹個鎖存器或者觸發器組成。比如STM32的一個寄存器有32位，則由32個觸發器組成。 STM32的寄存器包括通用寄存器、控制寄存器以及外設寄存器，每種寄存器都有其特定的功能和用途。而且在技術手冊占了非常多 ...
  • 關於0xc000007b的一種解決方案
    今天我在安裝qview並運行時時，遇到了這個問題。 我在網上查找了許多解決方案，但它們大多都說是某些dll缺失或錯誤引起的。 這些說法應該是正確的，但我用了dll修複工具後，一點用都沒有。 後來搗鼓半天後，我發現很可能是visual c++出了問題。後來的事實證明，確實是這樣。 我在微軟官網下載了最 ...
  • TTL、RS232、RS485三種協議以及三極體的學習
    目錄TTL、RS232、RS485三種協議介紹TTL（Transistor-Transistor Logic）串口通信協議工作原理：TTL電平標準：特點：優勢：缺點：TTL協議混淆點澄清：擴展學習：COMS技術CMOS技術的工作方式：主要特點：CMOS技術的局限性：RS232協議工作原理：特點：優勢 ...
  • MCU點燈實驗小結
    設備採用晶元：STM32F407ZET6 4個LED燈，網路標號分別為LED0 ,LED1,FSMC D10,FSMC D11。對應的引腳號分別為PF9,PF10,PE12,PE13。 GPIO外設基本概念 General-Purpose Input Output，通用型輸入輸出的，也簡稱I/O口， ...
  • 操作系統啟動的過程
    目錄操作系統，啟動！大致過程重要程式bootsect.ssetup.shead.s 操作系統，啟動！ 大致過程 ​ 電腦的工作方式是取指執行，而執行其的前提是記憶體中有代碼。操作系統剛開始並不是在記憶體中，而是在磁碟上，因此第一步需要將其以一定的方式從磁碟讀入記憶體。 （1）x86PC剛開機時CPU處於 ...
  • CentOS安裝git客戶端
    在 CentOS 上安裝 Git 可以通過以下幾個步驟來完成： 1. 使用 YUM 安裝 Git（一般這種情況已經可以滿足） 這是最簡單的方法，使用 CentOS 自帶的 YUM 包管理器。 更新 YUM 包索引： sudo yum update 安裝 Git： sudo yum install g ...
一周排行
    -Advertisement-
    Play Games
  • 移動開發（一）：使用.NET MAUI開發第一個安卓APP
    移動開發（一）：使用.NET MAUI開發第一個安卓APP 對於工作多年的C#程式員來說，近來想嘗試開發一款安卓APP，考慮了很久最終選擇使用.NET MAUI這個微軟官方的框架來嘗試體驗開發安卓APP，畢竟是使用Visual Studio開發工具，使用起來也比較的順手，結合微軟官方的教程進行了安卓 ...
  • wpf ToggleButton選中效果和一個登錄界面
    前言 QuestPDF 是一個開源 .NET 庫，用於生成 PDF 文檔。使用了C# Fluent API方式可簡化開發、減少錯誤並提高工作效率。利用它可以輕鬆生成 PDF 報告、發票、導出文件等。 項目介紹 QuestPDF 是一個革命性的開源 .NET 庫，它徹底改變了我們生成 PDF 文檔的方 ...
  • 彈幕樹洞項目功能新增篇
    項目地址 項目後端地址： https://github.com/ZyPLJ/ZYTteeHole 項目前端頁面地址： ZyPLJ/TreeHoleVue (github.com) https://github.com/ZyPLJ/TreeHoleVue 目前項目測試訪問地址： http://tree ...
  • 第27篇 sqlserver2022詳細安裝步驟
    話不多說，直接開乾 一.下載 1.官方鏈接下載： https://www.microsoft.com/zh-cn/sql-server/sql-server-downloads 2.在下載目錄中找到下麵這個小的安裝包 SQL2022-SSEI-Dev.exe，運行開始下載SQL server； 二. ...
  • .NET 開源高性能 MQTT 類庫
    前言 隨著物聯網（IoT）技術的迅猛發展，MQTT（消息隊列遙測傳輸）協議憑藉其輕量級和高效性，已成為眾多物聯網應用的首選通信標準。 MQTTnet 作為一個高性能的 .NET 開源庫，為 .NET 平臺上的 MQTT 客戶端與伺服器開發提供了強大的支持。 本文將全面介紹 MQTTnet 的核心功能 ...
  • Serilog文檔翻譯系列（六） - 可用的接收器、增強器、格式化輸出
    Serilog支持多種接收器用於日誌存儲，增強器用於添加屬性，LogContext管理動態屬性，支持多種輸出格式包括純文本、JSON及ExpressionTemplate。還提供了自定義格式化選項，適用於不同需求。 ...
  • 警惕 Visual Studio 屬性求值副作用導致邏輯不符合預期
    目錄簡介獲取 HTML 文檔解析 HTML 文檔測試參考文章 簡介 動態內容網站使用 JavaScript 腳本動態檢索和渲染數據，爬取信息時需要模擬瀏覽器行為，否則獲取到的源碼基本是空的。 本文使用的爬取步驟如下： 使用 Selenium 獲取渲染後的 HTML 文檔 使用 HtmlAgility ...
  • [使用目前最新版]HybridCLR6.9.0+YooAsset2.2.4實現純C# Unity熱更新方案 (一)
    1.前言 什麼是熱更新 游戲或者軟體更新時，無需重新下載客戶端進行安裝，而是在應用程式啟動的情況下，在內部進行資源或者代碼更新 Unity目前常用熱更新解決方案 HybridCLR，Xlua，ILRuntime等 Unity目前常用資源管理解決方案 AssetBundles，Addressable， ...
  • 在 ASP.NET Core Web API 中使用操作篩選器統一處理通用操作
    本文章主要是在C# ASP.NET Core Web API框架實現向手機發送驗證碼簡訊功能。這裡我選擇是一個互億無線簡訊驗證碼平臺，其實像阿裡雲，騰訊雲上面也可以。 首先我們先去 互億無線 https://www.ihuyi.com/api/sms.html 去註冊一個賬號 註冊完成賬號後，它會送 ...
  • 第28篇 如何.net中實現高效可靠數據同步api
    通過以下方式可以高效，並保證數據同步的可靠性 1.API設計 使用RESTful設計，確保API端點明確，並使用適當的HTTP方法（如POST用於創建，PUT用於更新）。 設計清晰的請求和響應模型，以確保客戶端能夠理解預期格式。 2.數據驗證 在伺服器端進行嚴格的數據驗證，確保接收到的數據符合預期格 ...
所有分類