日本服务器 SSL 证书迁移实操指南
一 迁移总览与前置准备
- 明确范围：梳理所有使用 HTTPS 的域名与端口（如 443、8443），确认是否包含 通配符 或 多域名 SAN 证书，以及是否部署在 负载均衡、CDN、反向代理 后。
- 准备材料：从当前服务器导出或获取 私钥（.key）、服务器证书（.crt/.pem）、中间证书链（.ca-bundle/.pem）；如使用 PFX/P12（.p12/.pfx） 则包含私钥与证书链。
- 合规与授权：部分 CA/供应商 对每个安装实例要求单独的 服务器许可证，即便使用相同私钥也可能需要；迁移前确认授权与续费状态。
- 安全与可用性：私钥是核心机密，迁移全程使用 SCP/SFTP/rsync over SSH 等加密传输；先在测试环境验证，再切换生产。
- 变更窗口与回滚：选择 低峰时段 操作，准备回滚方案（旧实例保持运行直至新实例验证通过）。
二 导出与传输
- 从源服务器导出
- 若证书与私钥在 Web 服务中：从 Apache/Nginx/IIS 的配置或证书存储导出 .crt + .key + 中间证书链；Windows 可用 证书 MMC 管理单元 导出为 PFX/P12（包含私钥与链）。
- 若使用 Java/ Tomcat：从 JKS 导出或转换为 PKCS#12（.p12/.pfx），命令示例：
- 导出为 PKCS#12：
keytool -importkeystore -srckeystore server.jks -destkeystore server.p12 -deststoretype PKCS12 -srcalias -deststorepass -srcstorepass
keytool -list -v -keystore server.p12 -storetype PKCS12
scp server.crt server.key chain.pem user@jp-server:/etc/ssl/certs/
scp server.p12 user@jp-server:/etc/ssl/certs/
- 权限最小化：私钥建议 600，证书 644；目录 750。
三 在日本服务器上安装与配置
- 放置证书文件
- 建议统一目录：如 /etc/ssl/certs/；记录私钥与证书、链文件的绝对路径。
- Web 服务器配置示例
- Nginx
- 单文件链（将服务器证书与中间证书拼接为 fullchain）：
ssl_certificate /etc/ssl/certs/fullchain.pem;
ssl_certificate_key /etc/ssl/certs/server.key;
ssl_certificate /etc/ssl/certs/server.crt;
ssl_certificate_key /etc/ssl/certs/server.key;
ssl_trusted_certificate /etc/ssl/certs/chain.pem;
- Apache
- SSLCertificateFile /etc/ssl/certs/server.crt
- SSLCertificateKeyFile /etc/ssl/certs/server.key
- SSLCertificateChainFile /etc/ssl/certs/chain.pem（或 SSLCACertificateFile，视版本而定）
- Windows/IIS
- 使用 MMC 证书管理单元 导入 PFX/P12，在 IIS 站点绑定 中选择该证书并绑定 443 端口。
- 生效与重启
- 检查配置语法后重启：
- Nginx：sudo nginx -t && sudo systemctl reload nginx
- Apache：sudo apache2ctl configtest && sudo systemctl reload apache2
- Windows：iisreset 或重启站点
四 验证与切换上线
- 连通性与链验证
- 浏览器访问 https://域名，确认锁标与证书信息；使用 SSL Labs SSL Server Test 检查链是否完整、协议与套件是否合规。
- 多节点与负载均衡
- 所有后端节点需部署 相同证书与链；如使用 SNI，确认按域名正确绑定证书。
- 灰度与切换
- 通过 DNS 权重/切换 或 负载均衡器 将流量逐步切至日本新实例；保持旧实例在线直至新实例稳定。
- SEO 与可用性
- 如更换域名或路径，配置 301 重定向；迁移后持续监控 可用性、延迟、证书到期 与错误日志。
五 常见问题与处理
- 私钥丢失
- 无法从现有证书恢复私钥；需向 CA 重签（多数情况下需重新生成 CSR），并重新部署到所有节点。
- 链不完整导致浏览器告警
- 确保配置 中间证书链（chain/bundle）；Nginx 推荐使用 fullchain 或将链文件配置到 ssl_trusted_certificate。
- 跨平台格式问题
- 在 JKS ⇆ PKCS#12 ⇆ PEM 间转换可用 keytool 或 OpenSSL；导入前用 keytool -list 校验条目与别名。
- 许可证与合规
- 如为 多服务器/多地域 部署，提前确认 CA 的服务器许可证 要求，避免违规或审计风险。
- 安全加固
- 迁移后禁用旧协议与弱套件（如 SSLv3、TLS1.0/1.1），开启 HSTS，并按需配置 OCSP Stapling。
