ACME v2协议能否分发现有SSL证书及密钥，还是仅能签发新证书？

部分证书颁发机构采用ACME协议自动处理证书请求的签名与签发，如今越来越多应用（比如Traefik）已内置ACME支持，这让证书轮换管理无需追踪各部署应用的证书存储位置。不过Let's Encrypt这类机构提供的免费证书并非适用于所有场景，比如有些软件要求在多层架构的应用边缘网关中安装完全相同的证书。想咨询：ACME v2协议是否支持重新分发已有的SSL证书及关联私钥？还是仅能处理私钥不会在ACME服务器与客户端之间传输的CSR请求？

ACME v2协议不支持重新分发已有的SSL证书及关联私钥，它的核心设计逻辑完全围绕“客户端本地生成私钥、仅向CA提交CSR”的流程展开：

• 从协议规范层面，ACME工作流里私钥始终由客户端本地生成和留存，绝不会传输到ACME服务器。CA仅负责验证客户端的域名控制权，基于提交的CSR签发证书后返回给客户端，全程不会存储客户端私钥，也没有任何机制支持从CA端取回已有的私钥或完整证书私钥对。
• 若需在多个节点部署同一证书，正确的做法是：在一个中心节点通过ACME获取证书与私钥后，自行通过安全渠道（比如加密的配置管理工具、内部文件传输系统）将证书和私钥分发给目标节点。ACME的定位是证书自动化签发与轮换工具，而非证书分发系统。
• 安全层面的关键提醒：私钥是SSL证书的核心敏感信息，ACME协议从设计之初就杜绝了私钥在公网传输的可能，这是保障证书安全的核心原则之一。

内容的提问来源于stack exchange，提问作者Philip Couling