当负载均衡服务配置 HTTPS 监听器时，您可以通过 Annotation 或证书中心更新监听器绑定的 HTTPS 证书。本文介绍在证书到期或证书轮换场景下，如何更新负载均衡 HTTPS 监听器的证书配置。 ## 背景信息在容器服务中，您可以通过为负载均衡（LoadBalancer）类型的 Service 配置 Annotation，自动为负载均衡实例创建并管理 HTTPS 监听器。HTTPS 监听器会通过绑定证书来完成服务端身份认证和数据加密，确保客户端访问业务服务时能够使用 HTTPS 协议建立安全连接。详情请参见如下文档： * [使用 Annotation 配置 CLB 负载均衡服务](https://docs.volcengine.com/docs/6460/100304) * [使用 Annotation 配置 NLB 负载均衡服务](https://docs.volcengine.com/docs/6460/1990484) HTTPS 证书通常具有固定的有效期。证书到期后，如果监听器仍然绑定旧证书，客户端访问业务域名时可能会出现证书过期、安全告警或连接失败等问题，影响业务访问体验。因此，在证书到期前，您需要提前完成新证书的申请、上传或准备工作，并及时更新 HTTPS 监听器绑定的证书。根据证书来源不同，更新证书的方式也不同。如下表所示。 |配置方式 |证书来源 |更新证书方式 | |---|---|---| |使用 Annotation 指定证书 ID |CLB 证书 |手工更新。 | ||证书中心证书 |* 手工更新。

* 证书中心更新，支持批量更新和部署。 | ## 手工更新证书

注意

若需要手工更新负载均衡 HTTPS 监听器的证书，请勿在负载均衡控制台的监听器页面进行证书替换操作。当 VKE 侧的规则发生变化时，会重新将监听器调谐成旧证书，可能引发业务故障。

### 操作步骤 1. 登录 [容器服务控制台](https://console.volcengine.com/vke)。 2. 在集群列表页面，单击目标集群名称，进入集群管理页面。 3. 在左侧导航栏中，选择 **服务与路由 \> 服务**，在服务列表中选择需要更新 HTTPS 证书的服务，在右侧 **操作** 列中选择 **编辑 Yaml**。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_eee789260f362ad2f2b9cd8e954cd4b0.png) 4. 在 Service YAML 的 Annotation 配置中，将旧证书 ID 修改为新证书 ID。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_67cee5767652301aace6a60dee6b7a8b.png) 5. 单击 **确定**，完成配置。 ### 结果验证证书更新成功后，您可以登录对应的负载均衡控制台，查看监听器绑定的 HTTPS 证书，确认配置是否生效。本文以 CLB 负载均衡为例。 1. 配置完成后，单击服务名称，在服务详情页中，选择 **事件** 页签，可以查看服务的调谐成功事件。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_0ea5f267da8b4f2dd901aa3a2d24075b.png) 2. 登录 [负载均衡控制台](https://console.volcengine.com/clb)，查看对应 CLB 实例监听器使用的证书详情，可以根据证书 ID 确认证书是否更换成功。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_ccf25fb914d85d33fe499608413e98a5.png) ## 使用证书中心更新证书 ### 使用限制 * 仅使用证书中心证书的资源，支持批量更新和部署。 * 在证书中心执行证书更新使用的账号，必须拥有 VKE 集群相关资源的写权限。例如在本文中，需要拥有 Service 资源的写权限。 ### 操作步骤推荐您使用证书中心管理证书，本小节重点介绍如何使用证书中心的 **部署** 功能，对集群中的证书进行批量更新。 1. 登录 [证书中心控制台](https://console.volcengine.com/certificate-center)。 2. 购买或上传新的 SSL 证书。详情请参见 [创建 SSL 证书订单](https://www.volcengine.com/docs/6638/118034)、[上传 SSL 证书](https://www.volcengine.com/docs/6638/118039)。 3. 在左侧导航栏中，选择 **SSL 证书** \> **证书管理**。 4. 在证书列表中选择新购买或上传的证书，单击 **操作** 栏中的 **部署**，进入证书部署页面。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_7a6fb0b3202c3496688c0ed8071120dc.png) 5. 在 **部署平台** 中选择 **容器服务 VKE**，并在 **资源列表** 中选择需要更新证书的地域和对应资源，将其添加到右侧的 **待部署列表** 中。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_13855218a110c1b04b15a5b9f451c800.png) 6. 单击 **提交**，并完成部署确认后，开始部署证书。 ### 结果验证证书更新成功后，您可以登录对应的负载均衡控制台，查看监听器绑定的 HTTPS 证书，确认配置是否生效。本文以 CLB 负载均衡为例。 1. 证书部署完成时，系统会在 **部署状态** 中显示 **部署成功**。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_959d739b916d15d7f4f4dda0dc9e6bb3.png) 2. 登录 [负载均衡控制台](https://console.volcengine.com/clb)，查看对应 CLB 实例监听器使用的证书详情，根据证书 ID 确认证书是否更换成功。 ![图片](https://portal.volccdn.com/obj/volcfe/cloud-universal-doc/upload_ccf25fb914d85d33fe499608413e98a5.png)