Win-ACME自动化证书申请中的IIS安装参数详解

背景介绍

Win-ACME作为Windows平台上流行的ACME客户端工具，常被用于自动化申请和管理Let's Encrypt证书。在实际生产环境中，特别是在IIS服务器上部署HTTPS证书时，开发者经常需要编写自动化脚本来完成证书的申请和安装。

问题发现

在Win-ACME的官方文档中，提供了一个典型的使用示例，用于为IIS站点自动申请证书：

wacs.exe --source iis --siteid 1 --excludebindings exclude.me --emailaddress [e-mail] --accepttos

然而多位用户反馈，在Windows Server 2022/IIS 10环境中执行此命令后，虽然证书申请成功并出现在证书存储中，但并未自动安装到指定的IIS站点上，导致HTTPS服务无法正常工作。

问题分析

经过技术验证，发现这是因为示例命令缺少了关键的--installation iis参数。该参数的作用是明确指示Win-ACME在证书申请成功后，将其安装到IIS服务器中。没有这个参数时，Win-ACME只会完成证书的申请和存储，而不会执行IIS的安装配置步骤。

解决方案

正确的完整命令应该是：

wacs.exe --source iis --siteid 1 --installation iis --excludebindings exclude.me --emailaddress [e-mail] --accepttos

技术原理

1. --source iis：指定从IIS获取证书申请信息
2. --installation iis：指示将证书安装到IIS
3. 这两个参数虽然都涉及IIS，但功能完全不同：
   • 前者是输入源，决定如何获取申请信息
   • 后者是安装目标，决定证书的部署位置

最佳实践建议

1. 在自动化脚本中始终明确指定安装目标
2. 对于IIS部署场景，建议同时使用--source iis和--installation iis
3. 在简单场景下，可以考虑使用项目分支simple-acme，该版本已实现--source iis自动包含--installation iis的逻辑

总结

这个案例提醒我们，在使用自动化工具时，必须仔细理解每个参数的具体作用。特别是在安全相关的证书管理场景中，参数的完整性直接影响服务的可用性。建议开发者在编写自动化脚本时，先进行小规模测试验证，确保所有预期功能都能正确执行。