blacklabelops/letsencrypt

Let's Encrypt Docker镜像

镜像概述

本镜像封装了Let's Encrypt独立服务器，用于生成和管理SSL证书，可完美配合https://github.com/blacklabelops/nginx%E5%8F%8D%E5%90%91%E4%BB%A3%E7%90%86%E4%BD%BF%E7%94%A8%EF%BC%8C%E5%B8%AE%E5%8A%A9%E7%94%A8%E6%88%B7%E5%BF%AB%E9%80%9F%E5%AE%9E%E7%8E%B0%E7%BD%91%E7%AB%99HTTPS%E9%83%A8%E7%BD%B2%E3%80%82

核心功能

• 初始设置Let's Encrypt证书
• 每月自动续期证书
• 手动创建新证书
• 手动续期证书
• 支持多域名配置
• 可选HTTP/HTTPS验证方式
• 多账户管理
• 支持传递额外Let's Encrypt参数

使用场景

• 个人/企业网站HTTPS证书部署与管理
• 多域名网站的统一证书管理
• 需要自动续期证书的长期运行服务
• 与Nginx反向代理结合的HTTPS服务架构

配置说明

基本使用示例

生成证书（一次性操作）：

$ docker run --rm \
    -p 80:80 \
    -p 443:443 \
    --name letsencrypt \
    -v letsencrypt_certificates:/etc/letsencrypt \
    -e "LETSENCRYPT_EMAIL=***" \
    -e "LETSENCRYPT_DOMAIN1=[***]" \
    blacklabelops/letsencrypt install

将在Docker卷中生成证书，若需添加新证书，将install替换为renew。

启动自动续期服务：

$ docker run --rm \
    -p 80:80 \
    -p 443:443 \
    --name letsencrypt \
    -v letsencrypt_certificates:/etc/letsencrypt \
    -e "LETSENCRYPT_DOMAIN1=[***]" \
    blacklabelops/letsencrypt

每月15日自动续期指定证书。

多域名配置

支持多个域名生成同一证书，每个域名需添加序号后缀：

$ docker run -d \
    -p 80:80 \
    -p 443:443 \
    --name letsencrypt \
    -v letsencrypt_certificates:/etc/letsencrypt \
    -e "LETSENCRYPT_EMAIL=***" \
    -e "LETSENCRYPT_DOMAIN1=subdomain1.example.com" \
    -e "LETSENCRYPT_DOMAIN2=[***]" \
    -e "LETSENCRYPT_DOMAIN3=mydomain.squeeze.de" \
    blacklabelops/letsencrypt

证书将以LETSENCRYPT_DOMAIN1指定的域名命名。

HTTP/HTTPS验证选择

可通过环境变量禁用不需要的验证端口：

• HTTP仅用：

$ docker run -d \
    -p 80:80 \
    --name letsencrypt \
    -v letsencrypt_certificates:/etc/letsencrypt \
    -e "LETSENCRYPT_HTTPS_ENABLED=false" \
    -e "LETSENCRYPT_EMAIL=***" \
    -e "LETSENCRYPT_DOMAIN1=subdomain1.example.com" \
    blacklabelops/letsencrypt

• HTTPS仅用：

$ docker run -d \
    -p 443:443 \
    --name letsencrypt \
    -v letsencrypt_certificates:/etc/letsencrypt \
    -e "LETSENCRYPT_HTTP_ENABLED=false" \
    -e "LETSENCRYPT_EMAIL=***" \
    -e "LETSENCRYPT_DOMAIN1=subdomain1.example.com" \
    blacklabelops/letsencrypt

手动操作命令

支持install/newcert/renewal三种手动命令：

• 安装证书：blacklabelops/letsencrypt install
• 新建证书：blacklabelops/letsencrypt newcert
• 续期证书：blacklabelops/letsencrypt renewal

与Nginx配合使用

1. 创建证书卷：docker volume create letsencrypt_certificates
2. 生成证书（参考基本示例）
3. 创建挑战卷：docker volume create letsencrypt_challenges
4. 启动Nginx：

$ docker run -d \
    -p 443:443 \
    -p 80:80 \
    -v letsencrypt_certificates:/etc/letsencrypt \
    -v letsencrypt_challenges:/var/www/letsencrypt \
    -e "NGINX_REDIRECT_PORT80=true" \
    -e "SERVER1REVERSE_PROXY_LOCATION1=/" \
    -e "SERVER1REVERSE_PROXY_PASS1=[***]" \
    -e "SERVER1HTTPS_ENABLED=true" \
    -e "SERVER1HTTP_ENABLED=true" \
    -e "SERVER1LETSENCRYPT_CERTIFICATES=true" \
    -e "SERVER1CERTIFICATE_FILE=/etc/letsencrypt/live/example.com/fullchain.pem" \
    -e "SERVER1CERTIFICATE_KEY=/etc/letsencrypt/live/example.com/privkey.pem" \
    -e "SERVER1CERTIFICATE_TRUSTED=/etc/letsencrypt/live/example.com/fullchain.pem" \
    --name nginx \
    blacklabelops/nginx

5. 启动续期服务：

$ docker run -d \
    -v letsencrypt_certificates:/etc/letsencrypt \
    -v letsencrypt_challenges:/var/www/letsencrypt \
    -e "LETSENCRYPT_WEBROOT_MODE=true" \
    -e "LETSENCRYPT_EMAIL=***" \
    -e "LETSENCRYPT_DOMAIN1=example.com" \
    --name letsencrypt \
    blacklabelops/letsencrypt

6. 启动Cron重载Nginx：

$ docker run -d \
    -v /var/run/docker.sock:/var/run/docker.sock \
    -e "JOB_NAME1=ReloadNginx" \
    -e "JOB_COMMAND1=docker exec nginx nginx -s reload" \
    -e "JOB_TIME1=0 0 2 15 * *" \
    -e "JOB_ON_ERROR1=Continue" \
    blacklabelops/jobber:docker

参考链接

• Let’s Encrypt
• https://github.com/letsencrypt/letsencrypt
• Docker官网
• https://github.com/blacklabelops/nginx
• https://github.com/dshearer/jobber