适用范围

H5 RDP 网关更换 HTTPS 证书（例如使用正式域名证书，替代默认的自签名证书）。

证书格式

• PEM 格式：证书文件（.crt / .pem / .cer，可以是含证书链的 fullchain）+ 私钥文件（.key）；
• PFX / P12 格式：一个文件，带密码；
• JKS 格式需要先转换成 PFX：keytool -importkeystore -srckeystore a.jks -destkeystore a.pfx -deststoretype PKCS12。

配置步骤（2026-09-28 及以后的网关，推荐）

1、把证书文件上传到网关，例如 /root/ 目录。

2、以 root 执行下面其中一条命令：

#PEM 格式：证书 + 私钥（证书链单独一个文件时加 --chain /root/ca-chain.crt）
h5rdpctl cert import --cert /root/rdp.example.com.crt --key /root/rdp.example.com.key

#PFX / P12 格式（执行后输入 PFX 密码）
h5rdpctl cert import-pfx /root/rdp.example.com.pfx

h5rdpctl 会自动完成以下工作，不需要编辑配置文件，也不需要手工重启：

• 检查证书与私钥是否匹配、证书是否过期、证书链是否完整；
• 生成网关使用的证书文件（随机密码），并备份原来的证书；
• 重启 h5-rdp 服务，检查服务是否正常；新证书导致服务无法启动时，自动恢复原来的证书。

3、执行 h5rdpctl cert show 查看当前证书。DoraCloud 后台【系统】【H5 RDP】中填写的访问地址，必须是证书中包含的域名。

其他常用命令：

• h5rdpctl cert self-signed：恢复为自签名证书（例如证书到期、网关 IP 变更）；
• h5rdpctl doctor：检查证书是否过期、是否包含当前 IP 等问题。

注意：用 h5rdpctl 配置过证书后，证书参数保存在 /home/jieyun/deskpool/h5RDP/config/h5rdp-ssl.env 中，优先级高于 application-prod.yml。这时再修改 yml 中的 server.ssl 配置不会生效，请始终用 h5rdpctl 更换证书。

旧版本网关（没有 h5rdpctl 命令）

建议先按《配置H5 RDP网关》重新执行在线安装命令，升级网关（升级会保留原有的密钥和配置），然后按上面的步骤操作。

无法升级时，可以按原来的方法手工修改配置：

1、将JKS或者PKCS12证书文件上传到/home/jieyun/deskpool/h5RDP/config/

2、编辑配置文件，红色部分需对应修改 vi /home/jieyun/deskpool/h5RDP/config/application-prod.yml

server:
  ssl:
    enabled: true
    key-store-type: PKCS12(或者JKS，类型需根据上传的证书格式做对应修改)
    key-store: file:./config/https.p12(或者https.jks，需与第1步中上传的证书名称相同)
    key-store-password: yourpassword(你的密码替换)
    key-alias: yourdomain(你的域名替换)

3、重启服务 systemctl restart h5-rdp