dlamotte0/letsencrypt-aws

letsencrypt-aws镜像说明

镜像概述

letsencrypt-aws是一款与AWS API和Let's Encrypt集成的工具，可后台运行，自动为AWS ELB配置、更新SSL/TLS证书，解决证书过期维护的问题，保障服务HTTPS访问的连续性。

核心功能

1. 每日检查ELB证书过期状态（提前45天触发更新）；
2. 自动生成私钥、CSR并向Let's Encrypt发起证书请求；
3. 通过Route53创建DNS挑战记录完成验证；
4. 将新证书上传至IAM并更新ELB监听配置；
5. 支持持久化运行模式，持续监控证书状态。

使用场景

• AWS环境中依赖ELB提供HTTPS服务的业务；
• 需要自动化管理Let's Encrypt证书的团队；
• 希望通过IAM实例角色或S3安全存储密钥的用户。

配置说明

前提准备

1. 注册Let's Encrypt账户（首次使用）；
2. 配置AWS凭证（支持boto3的所有方式，如IAM实例角色、环境变量）；
3. 存储ACME账户私钥（本地或S3）。

配置文件示例

通过LETSENCRYPT_AWS_CONFIG_FILE指定JSON配置：

json
{
    "certificates": [
        {
            "elbs": [{"name": "my-elb", "port": 443}],
            "hosts": ["demo.example.com"],
            "key_type": "rsa"
        }
    ],
    "acme_account_key": "file:///keys/acme-key.pem",
    "acme_directory_url": "https://acme-v02.api.letsencrypt.org/directory"
}

IAM权限要求

需授予以下最小权限：

• Route53：ChangeResourceRecordSets、GetChange、ListHostedZones；
• ELB：DescribeLoads、SetLoadListenerSSLCertificate；
• IAM：ListServerCertificates、UploadServerCertificate、GetServerCertificate；
• S3（若用S3存储密钥）：GetObject。

Docker部署示例

注册账户生成私钥

bash
docker run --rm -v $(pwd)/keys:/keys alexgaynor/letsencrypt-aws register your-email@example.com > /keys/acme-key.pem

持久化运行更新服务

bash
docker run -d \
  -e LETSENCRYPT_AWS_CONFIG_FILE=/config/config.json \
  -v $(pwd)/config:/config \
  -v $(pwd)/keys:/keys \
  -v ~/.aws:/root/.aws \
  alexgaynor/letsencrypt-aws update-certificates --persistent

（注：需确保配置文件路径与挂载卷一致，AWS凭证有效）