📘 תיעוד 71

החלפת חבילות תעודות של ACM

עודכן לאחרונה: 25 ביוני 2026

חבילות תעודות של Advanced Certificate Manager (ACM) לא ניתנות לעדכון במקום. כדי להחליף חבילה קיימת, למשל כדי לשנות את רשות האישורים, להוסיף שמות מארח, או לשנות את שיטת האימות, יוצרים חבילה חדשה, ממתינים עד שתגיע למצב Active, ואז מוחקים את הישנה.

העיקרון המרכזי הוא לוודא שחבילת התעודות החדשה מגיעה למצב Active לפני שמסירים את הישנה. כך נמנע פער בכיסוי, ואין זמן השבתה למשתמשים.

#תהליך החלפה מומלץ

#1. יצירת חבילת התעודות החדשה

1. בלוח הבקרה של Cloudflare, עברו לעמוד Edge Certificates. מעבר אל Edge Certificates
2. בחרו Order Advanced Certificate.
3. הגדירו את חבילת התעודות החדשה עם שמות המארח, רשות האישורים ושיטת האימות הרצויים.
4. בחרו Save.

השתמשו בנקודת הקצה Order Certificate Pack כדי ליצור את החבילה החדשה.

הוסיפו משאב cloudflare_certificate_pack חדש להגדרת Terraform שלכם והחילו אותו. עיינו בהערות הייעודיות ל-Terraform לפני שממשיכים.

#2. המתנה למצב Active

אחרי ההזמנה, חבילת התעודות החדשה עוברת כמה מצבי ביניים לפני שהיא מוכנה לשרת תעבורה:

1. Initializing
2. Pending Validation
3. Pending Issuance
4. Pending Deployment
5. Active

אל תמחקו את חבילת התעודות הישנה עד שהחדשה מגיעה למצב Active. עיינו במצבי תעודה לתיאור של כל שלב.

עקבו אחר ההתקדמות בעמוד Edge Certificates בלוח הבקרה, או תשאלו את נקודת הקצה Get Certificate Pack של ה-API.

לאזורים שמשתמשים ב-Cloudflare כ-DNS סמכותי (הגדרה מלאה), רוב האימותים מסתיימים תוך דקות. עבור הגדרות חלקיות (CNAME), תצטרכו למקם אסימוני DCV ידנית. עיינו בשיטות DCV לפרטים. אסימוני DCV פגים אם לא מולאו בתוך חלון התוקף שלהם (7 ימים ל-Let's Encrypt, 14 ימים ל-Google Trust Services ול-SSL.com).

#3. מחיקת חבילת התעודות הישנה

כשהחבילה החדשה במצב Active, אפשר למחוק בבטחה את הישנה.

1. בלוח הבקרה של Cloudflare, עברו לעמוד Edge Certificates. מעבר אל Edge Certificates
2. בחרו את חבילת התעודות הישנה.
3. בחרו Delete Certificate.

השתמשו בנקודת הקצה Delete Certificate Pack.

הסירו את משאב cloudflare_certificate_pack הישן מהגדרת Terraform שלכם והחילו. עיינו בהערות הייעודיות ל-Terraform.

#4. צפו למצב Pending Deployment קצר

אחרי מחיקת החבילה הישנה, התעודה שנותרה עשויה להציג לזמן קצר Pending Deployment לפני שהיא חוזרת ל-Active. זה משקף מחזור הערכה מחדש רגיל בקצה, בזמן שהרשת הגלובלית מיישבת את השינוי, ובדרך כלל נפתר תוך כמה דקות בלי השפעה על התעבורה.

אם התעודה נשארת ב-Pending Deployment יותר מהצפוי, עיינו במצבי תעודה ופנו אל תמיכת Cloudflare.

#Terraform

חבילות תעודות לא ניתנות לעדכון במקום. כל מאפיין של המשאב cloudflare_certificate_pack מאלץ משאב חדש בעת שינוי. תכננו את ההחלפה סביב האילוץ הזה.

זהירות

ייבוא חבילות תעודות קיימות למצב Terraform נתמך, אבל לא מומלץ. אם Cloudflare מנפיקה מחדש את התעודה (למשל בחידוש), מזהה המשאב משתנה ומצב Terraform יוצא מסנכרון. הדפוס המומלץ הוא לנהל את מחזור החיים המלא דרך Terraform: יצירה, המתנה למצב פעיל, ואז מחיקה, במקום לייבא חבילות קיימות.

#המתנה אוטומטית למצב Active

הגדירו wait_for_active_status = true על המשאב החדש כדי ש-Terraform יחסום את הריצת apply עד שחבילת התעודות מגיעה למצב Active. כך אין צורך לתשאל ידנית את לוח הבקרה או את ה-API בין שלבים 1 ו-3.

#דפוס מומלץ

1. הוסיפו את משאב cloudflare_certificate_pack החדש עם wait_for_active_status = true והריצו terraform apply. הריצת apply לא תושלם עד שהחבילה במצב Active.
2. הסירו את המשאב הישן מההגדרה והריצו terraform apply כדי למחוק אותו.

להחלפה בלי זמן השבתה של משאב יחיד (כשאי אפשר להחזיק את הישן ואת החדש במצב בו זמנית), השתמשו בארגומנט המטא של מחזור החיים create_before_destroy של Terraform.

עיינו בתיעוד הספק של cloudflare_certificate_pack לסכמת המשאב המלאה.

#בעיות החלפה נפוצות

#מגבלת קצב של Let's Encrypt

Let's Encrypt מגבילה תעודות חדשות לחמש בחלון של שבעה ימים עבור אותה קבוצה מדויקת של שמות מארח. החלפות חוזרות (למשל במהלך בדיקות או לולאות אוטומציה) יכולות למצות את המגבלה הזו ולחסום הנפקה נוספת עד שבוע.

אם הגעתם למגבלה הזו, החליפו את רשות האישורים ל-Google Trust Services או SSL.com או המתינו עד שחלון מגבלת הקצב יפוג. עיינו במגבלות הקצב של Let's Encrypt לפרטים.

#חבילה תקועה ב-Pending Validation

אם חבילה חדשה נשארת ב-Pending Validation יותר מ-15 דקות, בדקו ששיטת ה-DCV מוגדרת נכון. עיינו ב-Domain Control Validation וב-פתרון בעיות באימות שליטה בדומיין.

#הבחנה מהחלפת תעודה מותאמת אישית

עמוד זה עוסק בחבילות תעודות ACM (תעודות Domain Validated שמנוהלות על ידי Cloudflare ומוזמנות דרך Advanced Certificate Manager).

אם אתם משתמשים בתעודה מותאמת אישית (תעודה שסיפקתם), Cloudflare מספקת תהליך במקום בשם Replace SSL certificate and key שמטפל בהחלפה בלי שתצטרכו לנהל שתי חבילות. עיינו ב-ניהול תעודות מותאמות אישית.