containous/boulder

Boulder - ACME证书颁发机构（CA）Docker镜像

镜像概述

本镜像为Let's Encrypt官方的Boulder实现，是基于ACME协议的证书颁发机构（CA）。ACME协议允许CA自动验证申请人对域名的控制权，并支持域名持有者签发、吊销其域名的SSL/TLS证书。该镜像适用于本地开发测试ACME客户端、研究ACME协议工作原理或搭建私有CA环境。

核心功能

1. ACME协议兼容：支持ACME v1和v2版本，满足不同场景的证书申请需求。
2. 自动域名验证：提供HTTP-01和TLS-SNI-01两种验证方式，自动完成域名控制权验证。
3. 证书生命周期管理：支持证书的签发、吊销操作，维护证书的完整生命周期。
4. OCSP服务支持：内置OCSP更新器和响应器，提供证书状态查询功能。
5. 本地测试优化：默认使用Fake DNS解析（所有域名指向127.0.0.1），方便内部测试。

使用场景

• ACME客户端开发：测试Certbot等客户端与CA的交互流程，验证功能正确性。
• ACME协议研究：深入了解证书颁发的组件协作和协议细节。
• 私有CA搭建：在企业内部搭建符合ACME标准的私有证书服务，满足内部服务的加密需求。

配置说明

环境要求

• Docker Engine 1.13.0+
• Docker Compose 1.10.0+
• 至少2GB内存（避免MariaDB容器因内存不足异常）

关键配置调整

1. 切换Staging环境：修改docker-compose.yml中的BOULDER_CONFIG_DIR为test/config-next，启用ACME v2等新特性。
2. Fake DNS设置：若需连接主机客户端，执行ifconfig docker0 | grep "inet addr:" | cut -d: -f2 | awk '{print $1}'获取主机Docker IP，通过环境变量FAKE_DNS设置。
3. 验证端口调整：默认VA使用5002（HTTP-01）和5001（TLS-SNI-01）端口，可修改test/config/va.json中的portConfig以匹配生产环境端口（80/443）。

Docker部署示例

启动Boulder

bash
# 克隆代码到GOPATH
export GOPATH=~/gopath
git clone https://github.com/letsencrypt/boulder/ $GOPATH/src/github.com/letsencrypt/boulder
cd $GOPATH/src/github.com/letsencrypt/boulder

# 启动容器
docker-compose up

运行测试

bash
# 执行所有测试
docker-compose run --use-aliases boulder ./test.sh

# 执行特定单元测试（以ra模块为例）
docker-compose run --use-aliases boulder go test ./ra

重建镜像（基础镜像更新时）

bash
./docker-rebuild.sh