ACME Certificate Extract 镜像文档

镜像概述

ACME Certificate Extract 是一款用于从 ACME 协议获取的证书文件（如 Træfik 生成的 acme.json）中提取证书的工具，以便证书复用。该工具兼容 Træfik v1、v2 版本，同时支持 ACME v1、v2 协议。

核心功能与特性

多版本兼容：支持 Træfik v1/v2 及 ACME v1/v2 协议生成的证书文件。
证书提取：从 ACME 文件中解析并提取私钥、证书、证书链及完整证书链。
灵活存储：支持按域名分目录存储、扁平化存储（所有证书在同一目录）及历史版本归档。
域名限制：可指定仅处理特定完全限定域名（FQDN）列表。
自定义脚本：证书更新后可自动执行自定义脚本（如重启服务）。
调试支持：提供调试模式，输出详细日志信息。
文件名安全：自动替换域名中的星号（*）为指定字符串，避免文件名非法字符。

使用场景与适用范围

Træfik 证书复用：Træfik 用户需将 ACME 证书用于其他服务（如 Nginx、邮件服务器等）。
证书备份与归档：需定期备份证书或保留历史版本以便回滚。
自动化运维：证书更新后自动触发后续操作（如重启容器、同步证书至其他节点）。
多域名管理：需按域名组织证书文件或仅处理特定域名证书。

使用方法

基本部署（Docker Run）

通过 docker run 命令直接运行，需挂载存放 ACME 文件的目录和证书输出目录：

bash
docker run devopsansiblede/acme-cert-extract \
  -v $(pwd)/acme:/acme \  # 挂载ACME文件所在目录（默认查找acme.json）
  -v $(pwd)/certs:/certs   # 挂载证书输出目录

Docker Compose 部署

项目提供 docker-compose.yml 文件，可用于本地开发或测试最新变更：

yaml
# 示例 docker-compose.yml（具体以项目实际文件为准）
version: '3'
services:
  acme-cert-extract:
    image: devopsansiblede/acme-cert-extract
    volumes:
      - ./acme:/acme       # 本地ACME目录挂载至容器内/acme
      - ./certs:/certs     # 本地证书输出目录挂载至容器内/certs
    environment:
      - DEBUG=True         # 可选：开启调试模式
      - LIMIT_FQDN=example.com  # 可选：限制仅处理example.com

启动命令：

bash
docker-compose up -d

注意：项目中的 acme_example.json 为测试用例，包含无意义数据，不可用于实际证书提取场景。

配置说明

环境变量

通过环境变量调整工具行为，所有布尔值需使用 Python 风格（True/False）。

环境变量	默认值	描述
`ACMEFILE`	`acme.json`	待解析的 ACME 文件名，可根据实际需求调整。
`ACMEDIR`	`/acme`	ACME 文件所在目录，需挂载宿主机目录至该路径。
`CERTSDIR`	`/certs`	证书输出目录，需挂载宿主机目录至该路径。
`CERTSPLIT`	`-----BEGIN CERTIFICATE-----`	证书分割标识，请勿修改。
`COLOR_ERROR`	`1;31`	错误消息 ANSI 颜色码（格式：`样式;前景色`，如 `1;31` 为红色加粗）。
`COLOR_INFO`	`0`	信息消息 ANSI 颜色码（`0` 为默认样式）。
`COLOR_SUCCESS`	`0;32`	成功消息 ANSI 颜色码（`0;32` 为绿色）。
`COLOR_WARN`	`0;33`	警告消息 ANSI 颜色码（`0;33` 为黄色）。
`CRT_ARCHIVE`	`True`	是否启用证书归档（保留历史版本）。
`DEBUG`	`False`	是否开启调试模式（输出详细日志）。
`REPLACE_ASTERISK`	`STAR`	替换域名中星号（``）的字符串（如 `.example.com` 转为 `STAR.example.com`）。域名会转为小写，但此字符串不额外处理。
`STORE_FLAT_CRTS`	`True`	是否启用扁平化存储（所有证书存放在 `flat` 目录，不按域名分目录）。
`LIMIT_FQDN`	–	限制处理的 FQDN 列表（逗号分隔，如 `foo.example.com,bar.example.com`）。
`RUN_SCRIPT`	–	证书更新后执行的脚本名（需挂载至容器内 `${WORKDIR}` 目录，无需路径前缀）。用于触发后续操作（如重启容器）。
`WORKDIR`	`/certs_extract`	工作目录，除非重新构建镜像，否则请勿修改。