文档中心

容器服务

负载均衡（LoadBalancer）

更新负载均衡服务的 HTTPS 证书

更新负载均衡服务的 HTTPS 证书

当负载均衡服务配置 HTTPS 监听器时，您可以通过 Annotation 或证书中心更新监听器绑定的 HTTPS 证书。本文介绍在证书到期或证书轮换场景下，如何更新负载均衡 HTTPS 监听器的证书配置。

背景信息

在容器服务中，您可以通过为负载均衡（LoadBalancer）类型的 Service 配置 Annotation，自动为负载均衡实例创建并管理 HTTPS 监听器。HTTPS 监听器会通过绑定证书来完成服务端身份认证和数据加密，确保客户端访问业务服务时能够使用 HTTPS 协议建立安全连接。详情请参见如下文档：

使用 Annotation 配置 CLB 负载均衡服务

使用 Annotation 配置 NLB 负载均衡服务

HTTPS 证书通常具有固定的有效期。证书到期后，如果监听器仍然绑定旧证书，客户端访问业务域名时可能会出现证书过期、安全告警或连接失败等问题，影响业务访问体验。因此，在证书到期前，您需要提前完成新证书的申请、上传或准备工作，并及时更新 HTTPS 监听器绑定的证书。

根据证书来源不同，更新证书的方式也不同。如下表所示。

配置方式	证书来源	更新证书方式
使用 Annotation 指定证书 ID	CLB 证书	手工更新。
使用 Annotation 指定证书 ID		证书中心证书	手工更新。证书中心更新，支持批量更新和部署。

手工更新证书

注意

若需要手工更新负载均衡 HTTPS 监听器的证书，请勿在负载均衡控制台的监听器页面进行证书替换操作。当 VKE 侧的规则发生变化时，会重新将监听器调谐成旧证书，可能引发业务故障。

操作步骤

登录容器服务控制台。

在集群列表页面，单击目标集群名称，进入集群管理页面。

在左侧导航栏中，选择服务与路由 > 服务，在服务列表中选择需要更新 HTTPS 证书的服务，在右侧操作列中选择编辑 Yaml。

在 Service YAML 的 Annotation 配置中，将旧证书 ID 修改为新证书 ID。

单击确定，完成配置。

结果验证

证书更新成功后，您可以登录对应的负载均衡控制台，查看监听器绑定的 HTTPS 证书，确认配置是否生效。本文以 CLB 负载均衡为例。

配置完成后，单击服务名称，在服务详情页中，选择事件页签，可以查看服务的调谐成功事件。

登录负载均衡控制台，查看对应 CLB 实例监听器使用的证书详情，可以根据证书 ID 确认证书是否更换成功。

使用证书中心更新证书

使用限制

仅使用证书中心证书的资源，支持批量更新和部署。

在证书中心执行证书更新使用的账号，必须拥有 VKE 集群相关资源的写权限。例如在本文中，需要拥有 Service 资源的写权限。

操作步骤

推荐您使用证书中心管理证书，本小节重点介绍如何使用证书中心的部署功能，对集群中的证书进行批量更新。

登录证书中心控制台。

购买或上传新的 SSL 证书。详情请参见创建 SSL 证书订单、上传 SSL 证书。

在左侧导航栏中，选择 SSL 证书 > 证书管理。

在证书列表中选择新购买或上传的证书，单击操作栏中的部署，进入证书部署页面。

在部署平台中选择容器服务 VKE，并在资源列表中选择需要更新证书的地域和对应资源，将其添加到右侧的待部署列表中。

单击提交，并完成部署确认后，开始部署证书。

结果验证

证书更新成功后，您可以登录对应的负载均衡控制台，查看监听器绑定的 HTTPS 证书，确认配置是否生效。本文以 CLB 负载均衡为例。

证书部署完成时，系统会在部署状态中显示部署成功。

登录负载均衡控制台，查看对应 CLB 实例监听器使用的证书详情，根据证书 ID 确认证书是否更换成功。

最近更新时间：2026.08.03 21:12:31

这个页面对您有帮助吗？

有用

有用

无用

无用