digimach/acme.sh

ACME Shell脚本：acme.sh Docker镜像

https://github.com/acmesh-official/acme.sh%E7%9A%84Docker%E5%8C%96%E7%89%88%E6%9C%AC%EF%BC%8C%E4%BB%A5%E5%85%BC%E5%AE%B9%E6%80%A7%E5%92%8C%E5%AE%89%E5%85%A8%E6%80%A7%E4%B8%BA%E8%AE%BE%E8%AE%A1%E6%A0%B8%E5%BF%83%EF%BC%8C%E5%8C%85%E5%90%AB%E5%AE%98%E6%96%B9%E4%B8%8A%E6%B8%B8acme.sh%E5%B7%A5%E4%BB%B6%E3%80%82

核心功能与特性

• 支持多架构
• 支持多种基础操作系统
• 可作为非root用户运行
• latest标签在构建时应用上游操作系统补丁
• 提供自动证书续期守护进程，可定期检查并续期证书

使用场景与适用范围

适用于需要在Docker环境中自动化管理SSL/TLS证书的场景，如Web服务器、API服务、微服务等需HTTPS加密的应用，尤其适合需要跨架构部署或对安全性有较高要求的环境。

使用方法

acme.sh命令行

bash
docker run --interactive \
           --rm  \
           --tty \
           --env PUID=1001 \
           --env PGUID=1001 \
           --env LE_CONFIG_HOME=/srv/acmesh/config \
           --env LE_CERT_HOME=/srv/acmesh/cert-home \
           --volume /srv/acmesh/config:/srv/acmesh/config \
           --volume /srv/acmesh/cert-home:/srv/acmesh/cert-home \
           digimach/acme.sh:latest \
           acme.sh <acme.sh参数>

续期守护进程

使用与acme.sh命令行相同的参数，并添加以下额外参数：

bash
docker run --interactive \
           --detach  \
           --name acmesh-renewal-daemon \
           --env PUID=1001 \
           --env PGUID=1001 \
           --env LE_CONFIG_HOME=/srv/acmesh/config \
           --env LE_CERT_HOME=/srv/acmesh/cert-home \
           --env LE_LOG_DIR=/srv/acmesh/logs \
           --env ACMESH_DAEMON=1 \
           --env RENEWAL_CHECK_FREQUENCY=1h \
           --volume /srv/acmesh/config:/srv/acmesh/config \
           --volume /srv/acmesh/cert-home:/srv/acmesh/cert-home \
           --volume /srv/acmesh/logs:/srv/acmesh/logs \
           digimach/acme.sh:latest

需优雅终止续期守护进程容器：

bash
docker kill -s SIGTERM acmesh-renewal-daemon

上述命令将在守护进程等待下次续期检查时终止容器，若已在运行续期检查和签发流程则会让其完成后再终止。

参数说明

通用参数

容器可通过运行时参数进行配置：

续期守护进程参数

以下参数为通用参数的补充，仅适用于续期守护进程：

高级参数

仅在需要时使用的高级参数：

用户/组标识符

容器默认以uid:1001和gid:1001运行命令。挂载卷（使用-v/--volume）时可能出现权限问题，可通过设置容器执行命令的用户（需对挂载的主机卷有读写权限）解决。

使用示例

容器设计为可直接替代主机上运行的acme.sh命令。以下两个命令等效，均以uid:1001和gid:1001运行：

bash
LE_WORKING_DIR=/usr/lib/acmesh \
LE_CONFIG_HOME=/srv/acmesh/config \
LE_CERT_HOME=/srv/acmesh/cert-home \
acme.sh <acme.sh参数>

bash
docker run --interactive \
           --rm  \
           --tty \
           --env PUID=1001 \
           --env PGUID=1001 \
           --env LE_CONFIG_HOME=/srv/acmesh/config \
           --env LE_CERT_HOME=/srv/acmesh/cert-home \
           --name acmesh \
           --volume /srv/acmesh:/srv/acmesh/ \
           digimach/acme.sh:latest \
           acme.sh \
           <acme.sh参数>

以root用户运行

若需覆盖容器默认的受限用户运行行为，可将PUID和PGID设为0。不建议此操作，应尽可能避免。

bash
docker run --interactive \
           --rm  \
           --tty \
           --env PUID=0 \
           --env PGUID=0 \
           --env LE_CONFIG_HOME=/srv/acmesh/config \
           --env LE_CERT_HOME=/srv/acmesh/cert-home \
           --name acmesh \
           --volume /srv/acmesh:/srv/acmesh/ \
           digimach/acme.sh:latest \
           acme.sh \
           <acme.sh参数>

处理证书签名请求(CSR)

以下示例展示通过DNS验证方式处理CSR。CSR文件需放置于/srv/acmesh/foo.mydomain.com.csr，执行--signcsr命令后会复制到/srv/acmesh/cert-home/foo.mydomain.com/foo.mydomain.com.csr，之后可删除原CSR文件。示例中使用--renew-hook指定证书成功签发/续期后执行的脚本。

bash
docker run --interactive \
           --rm  \
           --tty \
           --env LE_CONFIG_HOME=/srv/acmesh/config \
           --env LE_CERT_HOME=/srv/acmesh/cert-home \
           --user <uid>:<gid> \
           --volume /srv/acmesh:/srv/acmesh \
           digimach/acme.sh:latest \
           acme.sh \
           --signcsr \
           --csr /srv/acmesh/foo.mydomain.com.csr \
           --dns  dns_clouddns \
           --challenge-alias foo.mydomain.com \
           --renew-hook /srv/acmesh/config/renew-hook.sh

运行任意命令

bash
docker run --interactive \
           --rm  \
           --tty \
           --user <uid>:<gid> \
           --volume /srv/acmesh:/srv/acmesh \
           digimach/acme.sh:latest \
           ls -alrt /srv/acmesh

发布镜像

为简化标签方案，所有发布标签采用以下命名规则，可根据使用场景选择合适标签：

说明：术语“latest”指构建时的最新版本，若标签未标注日期，将保持更新。若基础操作系统有多个版本，将尽可能使用最新稳定版；若上游操作系统不再支持旧版本，可能停止构建和支持旧版本。

基础镜像与架构

已发布镜像覆盖主流发行版和架构，下表列出当前支持的操作系统、基础镜像标签及架构：