aooj/certbot

docker-certbot 镜像文档

镜像概述

docker-certbot是一个基于Certbot的Docker镜像，用于简化Let's Encrypt SSL证书的生成、续期和管理流程。该镜像特别支持通过DigitalOcean DNS进行域名验证，适用于需要为域名配置SSL证书的服务器环境，提供便捷的证书生命周期管理。

核心功能与特性

• 证书生成：通过Certbot与DigitalOcean DNS验证结合，生成Let's Encrypt SSL证书
• 证书续期：支持手动或自动续期已生成的证书
• 目录管理：预设证书存储、工作和日志目录，确保数据持久化
• DigitalOcean集成：通过API token实现DNS验证，无需开放80/443端口
• 自动续期支持：提供cron任务配置示例，实现证书自动续期

使用场景

• 需要为域名配置SSL证书的Web服务器
• 使用DigitalOcean DNS服务的域名管理场景
• 希望自动化SSL证书生命周期管理的服务器环境
• 无法开放80/443端口进行HTTP验证的网络环境

使用方法

准备工作

1. 创建必要目录：

   bash
   mkdir /etc/letsencrypt
   mkdir /etc/letsencrypt/work
   mkdir /var/log/letsencrypt
   

2. 配置DigitalOcean API Token：

   • 在DigitalOcean控制台生成API token
   • 将token保存至配置文件/etc/letsencrypt/digitalocean.ini，内容格式：

     ini
     dns_digitalocean_token = xxx  # 替换为实际的API token
     

基本使用

构建镜像

bash
make build

生成证书

bash
make DOMAIN=example.com issue  # 替换example.com为实际域名

手动续期证书

bash
make renew

自动续期配置

通过cron任务实现证书自动续期：

1. 编辑crontab：

   bash
   crontab -e
   

2. 添加以下任务（每天凌晨0点6分执行续期）：

   bash
   6 0 * * * docker run --rm --user $(id -u letsencrypt):$(id -g letsencrypt) -v /etc/letsencrypt:/etc/letsencrypt -v /var/log/letsencrypt:/var/log/letsencrypt aooj/certbot:latest certbot renew --logs-dir /var/log/letsencrypt --config-dir /etc/letsencrypt --work-dir /etc/letsencrypt/work > /dev/null
   

参数说明

• 卷挂载：

  • /etc/letsencrypt: 证书存储和配置目录
  • /var/log/letsencrypt: 日志目录
  • /etc/letsencrypt/work: Certbot工作目录

• 用户权限：--user $(id -u letsencrypt):$(id -g letsencrypt)确保以letsencrypt用户权限运行，增强安全性

• Certbot命令参数：

  • --logs-dir: 指定日志目录
  • --config-dir: 指定配置目录
  • --work-dir: 指定工作目录
  • renew: 执行证书续期操作