U-Center2.0证书替换问题

一般都是nginx或者apache

如果不匹配，证书也是可以格式互转的

U‑Center2.0 对外网关是Nginx，Web 网关证书请选择：nginx模板；其余选项是第三方中间件模板，不要选错。 选项释义：

1. apache_f5：Apache/F5 负载均衡（PEM 证书 + key）
2. haproxy：HAProxy（PEM 合并证书）
3. jks_jboss_tomcat_weblogic：Java JKS，JBoss/Tomcat/Weblogic
4. jks_tomcat8.5+：Tomcat8.5 以上 JKS
5. nginx：U‑Center2.0 平台对外访问网关，选这个！输出 PEM 证书 crt + 私钥 key
6. pfx_pkcs12_P12_IIS_exchange：Windows IIS/Exchange 的 pfx/p12

一、正确选择

✅ U‑Center2.0 替换 Portal/Matrix 访问过期证书，下载证书资源的时候选择【nginx】格式

输出产物：xxx.crt（完整证书链，服务器证书 + 中间 CA）、xxx.key（RSA 私钥），这是平台上传证书所需要的两套文件。

注意：集群单机全部统一操作；替换完成后需要重启 U‑Center 网关相关容器服务，证书才生效。

二、证书格式不匹配如何解决（OpenSSL 转换，U‑Center 服务器自带 openssl，可直接执行）

场景 1：手里只有 pfx/p12（IIS 导出），需要转 nginx 用的 crt+key

执行会要求输入 pfx 密码，输出的nginx.crt、nginx.key，即可选择 nginx 模板上传。

场景 2：手里只有 jks（Java 密钥库），转 nginx crt+key

场景 3：证书服务商只给了分开的证书、中间证书，需要合并完整证书链给 nginx

nginx 的 crt 文件必须服务器证书在前，中间 CA 证书在后，不能把根 CA 放进去。

三、关键踩坑点

1. ❌不要选 jks、pfx_pkcs12_P12_IIS_exchange 模板，U‑Center2.0 对外网关是 nginx，上传 jks/pfx 会报格式错误；jks 是内部 java 微服务组件用，portal 网页访问不用 jks。
2. crt 文件必须完整证书链（业务证书 + 中间证书），只上传业务证书，浏览器会报证书不信任。
3. 私钥必须 RSA 格式；ECC 国密证书需要 U‑Center 对应版本支持。
4. 转换证书全程基于原始证书原始私钥操作，转换完成核对指纹，防止私钥证书不匹配。
5. 替换完证书之后，务必重启网关服务，集群所有 master 节点都需要更新证书文件；替换后浏览器 F12 查看证书有效期确认是否更新成功。
6. 建议替换前把原有旧证书文件完整备份，防止替换失败回滚。