alexgaynor/letsencrypt-aws

letsencrypt-aws镜像说明

镜像概述

letsencrypt-aws是一款在AWS环境中自动化管理Let's Encrypt证书的工具，可自动完成ELB证书的配置与更新。注意：该工具目前维护不足，建议优先使用Amazon Certificate Manager或其他活跃维护的Let's Encrypt自动化方案。

核心功能

1. 定期检查ELB证书过期状态（剩余有效期<45天则触发更新）
2. 自动生成私钥与CSR（证书签名请求）
3. 通过Route53创建DNS记录完成Let's Encrypt挑战验证
4. 将新证书与私钥上传至IAM，并更新ELB的SSL证书
5. 支持持久化运行（每24小时循环检查）与强制重新签发证书

使用场景

适用于AWS生产环境中需要自动维护ELB HTTPS证书的场景，可减少手动证书续期的工作量，避免证书过期导致服务中断。

配置说明

1. 注册ACME账户（首次使用）

运行以下命令注册Let's Encrypt账户，并保存输出的私钥：

console
$ docker run --rm alexgaynor/letsencrypt-aws python letsencrypt-aws.py register your-email@example.com

2. 配置AWS凭证

可通过以下方式提供AWS凭证：

• IAM实例配置文件（推荐EC2运行时使用）
• 环境变量AWS_ACCESS_KEY_ID与AWS_SECRET_ACCESS_KEY
• 本地~/.aws/credentials文件（需挂载到容器内）

3. 设置配置环境变量

通过LETSENCRYPT_AWS_CONFIG传递JSON配置：

json
{
    "domains": [
        {
            "elb": {"name": "your-elb-name", "port": 443},
            "hosts": ["example.com", "www.example.com"],
            "key_type": "rsa"
        }
    ],
    "acme_account_key": "s3://your-bucket/account-key.pem",
    "acme_directory_url": "https://acme-v02.api.letsencrypt.org/directory"
}

• acme_account_key：私钥位置（本地路径用file://前缀，S3路径用s3://前缀）
• domains：ELB名称、端口、域名列表及密钥类型（支持rsa/ecdsa）

4. Docker部署示例

单次证书更新检查

console
$ docker run -e AWS_ACCESS_KEY_ID=your-key -e AWS_SECRET_ACCESS_KEY=your-secret -e LETSENCRYPT_AWS_CONFIG='{"domains": [...], ...}' alexgaynor/letsencrypt-aws python letsencrypt-aws.py update-certificates

持久化运行（每24小时检查）

console
$ docker run -d -e AWS_ACCESS_KEY_ID=your-key -e AWS_SECRET_ACCESS_KEY=your-secret -e LETSENCRYPT_AWS_CONFIG='{"domains": [...], ...}' alexgaynor/letsencrypt-aws python letsencrypt-aws.py update-certificates --persistent

强制重新签发证书

console
$ docker run -e AWS_ACCESS_KEY_ID=your-key -e AWS_SECRET_ACCESS_KEY=your-secret -e LETSENCRYPT_AWS_CONFIG='{"domains": [...], ...}' alexgaynor/letsencrypt-aws python letsencrypt-aws.py update-certificates --force-issue

5. IAM权限策略

需为运行镜像的实体授予以下最小权限：

json
{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": ["route53:ChangeResourceRecordSets", "route53:GetChange", "route53:ListHostedZones"],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": ["elasticloadbalancing:DescribeLoadBalancers", "elasticloadbalancing:SetLoadBalancerListenerSSLCertificate"],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": ["iam:ListServerCertificates", "iam:UploadServerCertificate", "iam:GetServerCertificate"],
            "Resource": "*"
        }
    ]
}

若私钥存储在S3，需额外添加s3:GetObject权限。