Nginx 中 ssl_password_file 配置私钥口令保护

Nginx 不支持 ssl_password_file 指令，因其原生设计不提供从文件读取私钥密码的能力；唯一合法做法是预解密私钥并严格控制权限，确保 Nginx 启动时直接使用无密码私钥。

Nginx 不支持ssl_password_file 指令——它在所有最新稳定版本中均不存在。如果你在配置文件中添加该行，Nginx 启动时会直接报错：

unknown directive "ssl_password_file"

这不是配置写法错误、版本过低或模块未加载的问题，而是 Nginx 的原生设计决定：它从不提供从文件自动读取私钥密码的能力。遇到加密私钥时，Nginx 唯一行为是阻塞在终端，等待手动输入 Enter PEM pass phrase:。

所以，“如何配置 ssl_password_file”这个问题本身没有可行答案。真正要做的，是让 Nginx 启动时拿到的是已解密的私钥，而非依赖它去读密码。

---

如何安全地实现私钥口令保护与自动化启动

✅ 推荐做法：CI/CD 预解密 + 严格权限控制

在可信构建环境（如 GitHub Actions、GitLab CI）中完成解密，线上机器全程不接触密码或加密私钥：

1. 执行解密命令：

   openssl rsa -in server.key.enc -out server.key -passin file:pwd.txt

2. 设置安全权限：

   chmod 600 server.keychown nginx:nginx server.key

3. 部署 server.key（无密码），删除 pwd.txt 和 server.key.enc，确保它们不进入 Git、不落地生产服务器磁盘。

? 高合规场景：LUKS 加密卷 + systemd 自动挂载

若审计强制要求私钥必须加密，可将密码文件存于 LUKS 加密分区：

1. 创建加密卷 /safe/ssl/，存放 passwd.txt
2. 使用 systemd-cryptsetup 配合 TPM2 或内核 keyring 自动解锁
3. 在 Nginx service 单元中添加：

   RequiresMountsFor=/safe/ssl

4. 密码文件权限设为 600，属主为 nginx，挂载选项含 noexec,nosuid,nodev

⚡ 轻量替代：tmpfs + Vault Agent 注入

适用于容器或云环境，避免磁盘留存：

1. 将 ssl_password_file 指向内存路径（如 /dev/shm/nginx-pass）
2. 启动前由 Vault Agent 拉取口令写入，并立即执行：

   chown nginx:nginx /dev/shm/nginx-pass && chmod 600 /dev/shm/nginx-pass

3. 关机即清空，无持久化风险

---

❌ 不推荐的做法

1. 把密码明文写进 /etc/nginx/ssl/password 并配 ssl_password_file：指令根本无效，且明文落盘风险极高
2. 用 echo "pass" | nginx 或 expect 自动应答：Nginx 不接受 stdin 输入，且进程参数/日志易泄露密码
3. 在 Dockerfile 中 COPY 密码文件再 RUN rm：仍保留在镜像历史层中，可被 docker history 提取

---

如何验证私钥是否加密？

运行以下命令：

openssl rsa -noout -text -in /path/to/private.key

1. 若输出含 Encrypted 或提示 Enter pass phrase for → 需解密
2. 若直接显示 Private-Key: 且无报错 → 私钥未加密，无需任何密码机制

真正安全又自动的路径，从来不是“让 Nginx 读密码”，而是“不让它看见密码”。