ESA 边缘安全加速

将证书直接部署到 边缘安全加速（ESA）站点，调用 SetCertificate（自定义上传）换证，无需走 CAS 收费的「云产品部署」任务。

须先完成 API 凭证 配置。

ESA 与传统 CDN、全站加速 DCDN 是不同产品：配置的是 站点（Site） 的边缘证书，不是加速域名。若业务已接入 ESA，请使用本类型，不要误选 CDN 或 DCDN。

在本站添加目标

1. 证书部署 → 阿里云 → ESA → 「+ 新增目标」
2. 选择已保存的 API 凭证
3. 填写目标名称与 ESA 站点 ID
4. 点击 保存目标，再在目标卡片点击 测试：系统调用 GetSite 校验站点是否存在、AccessKey 是否有读权限
5. 测试通过后，到 关联与推送 为证书勾选该目标（可选 自动）

必填参数

如何查找站点 ID

1. 登录 ESA 控制台
2. 打开 站点管理（或站点列表），进入目标站点
3. 在站点详情 / 概览中查看 站点 ID（SiteId）
4. 也可通过 OpenAPI ListSites 按站点名称查询

部署效果

推送成功后，该站点下的 自定义边缘证书 即已更新。部署记录摘要类似：「ESA 站点 {ID} 边缘证书已更新」。

请同时确认：

1. 站点已开启 SSL/TLS（边缘证书开关）
2. 证书域名覆盖站点主域名及实际对外访问的主机名（CN / SAN）

同一站点上，主机名不同的证书会分别上传，不会互相覆盖。例如 nestssl.com 与 license.nestssl.com 各占一张自定义证。同一主机名再次推送时，按稳定名称 nestssl-{主机名}-{摘要} 原地更新。配额不足时，只会清理同名重复证或已过期的自定义证，不会删除其他主机名仍有效的证书。

权限要求

RAM 策略需包含：

完整全产品 JSON 见 阿里云 API 凭证。若只部署 ESA，使用上表这五项，或系统策略 AliyunESAFullAccess（权限较宽）。配额不足时会删除站点上任意一张已过期的自定义上传证（type=upload），也会删除同名重复证；不会删除其他主机名仍有效的证书，也不表示 CAS 或 CLB 会自动删证。测试连接只读取站点；成功不证明上传或换证权限。

注意事项

• 部署前请确保证书记录或密钥库中已保存 私钥
• 证书须覆盖该 ESA 站点域名（与站点主域名 / 记录主机名的 CN、SAN 一致）
• 免费证书（控制台 ApplyCertificate 申请的 free 类型）不能通过本接口更新；本站始终上传 自定义证书
• 若提示自定义证书配额不足，请在 ESA 控制台清理旧的自定义证书后重试
• 若提示证书与站点域名不匹配，请核对证书 SAN 与站点加速域名
• 若提示权限不足，请核对凭证是否已授权给对应 RAM 用户，且含 esa:SetCertificate

与 CDN / DCDN 如何选择

相关文档

• 阿里云 API 凭证
• 关联与推送
• 部署总览
• 自动化与通知