在「关联与推送」勾选该目标并开启自动推送后，证书签发或续费成功会自动部署；也可以随时手动「立即推送」。部署到指定 CLB 监听器。
须先完成 API 凭证 配置。
授权服务角色（主账号，一次即可）
部署到 CDN、EdgeOne、CLB、COS 前，主账号需授权服务角色 SSL_QCSLinkedRoleInReplaceLoadCertificate。在腾讯云 SSL 证书控制台首次使用部署功能时按提示授权。未授权时接口会返回角色不存在。
在本站添加目标
- 证书部署 → 腾讯云 → CLB → 「+ 新增目标」
- 选择已保存的 API 凭证
- 选择资源地域，填写实例 ID 与监听器 ID；监听器开启了 SNI 时再填写域名
- 保存目标 后，在目标卡片点击 测试
- 到 关联与推送 为证书勾选该目标
要填的字段
| 字段 | 说明 |
|---|---|
| 资源地域 | CLB 实例所在地域 |
| 实例 ID | lb- 开头。实例 ID 和监听器 ID 在 CLB 控制台监听器列表中查看 |
| 监听器 ID | lbl- 开头 |
| 域名 | 监听器开启了 SNI 时填写要绑定的域名；未开启 SNI 或为 TCP_SSL 监听器时留空 |
测试检查什么
检查 SecretId/SecretKey、上传权限、该产品实例列表查询权限和服务角色是否已授权。不检查部署权限（ssl:DeployCertificateInstance），也不检查所填实例或域名是否存在，这些在实际推送时确认。
部署过程
推送后腾讯云会创建部署任务，本站等待结果，最长约 80 秒。超时会显示「仍在进行」：自动推送会自动重试；手动推送可稍后再推，如果腾讯云已经在使用该证书，会直接显示成功。
常见失败
- 证书不覆盖所填域名
- 服务角色未授权
- 同一证书在同类产品上已有进行中的任务（稍后重试即可）
- 七层监听器下没有规则
- 监听器规则使用了正则
- 监听器未开启 SNI 且其下有证书不覆盖的域名
权限要求
ssl:UploadCertificatessl:DescribeCertificatesssl:DeployCertificateInstancessl:DescribeHostDeployRecordDetailssl:DescribeHostClbInstanceList
注意事项
- 须保存 私钥
- 同一证书重复推送会复用腾讯云证书库中已有的那张；每个新证书版本会在证书库新增一条（备注含日期和任务 ID），旧证书不会自动删除