fhriley/letsencrypt-wildcard

Let's Encrypt 通配符服务

镜像概述和主要用途

本镜像基于https://hub.docker.com/r/csmith/letsencrypt-lexicon%E6%9E%84%E5%BB%BA%EF%BC%8C%E7%94%A8%E4%BA%8E%E9%80%9A%E8%BF%87ACME v2协议从https://letsencrypt.org/%E8%87%AA%E5%8A%A8%E8%8E%B7%E5%8F%96SSL%E8%AF%81%E4%B9%A6%E3%80%82%E5%AE%83%E4%BD%BF%E7%94%A8dns-01%E9%AA%8C%E8%AF%81%E6%96%B9%E5%BC%8F%EF%BC%8C%E5%9B%A0%E6%AD%A4%E5%AE%8C%E5%85%A8%E6%94%AF%E6%8C%81%E9%80%9A%E9%85%8D%E7%AC%A6%E8%AF%81%E4%B9%A6%E3%80%82%E5%90%8C%E6%97%B6%E6%94%AF%E6%8C%81%E5%A4%9A%E5%9F%9F%E5%90%8D%E3%80%81SANs%EF%BC%88%E4%B8%BB%E9%A2%98%E5%A4%87%E7%94%A8%E5%90%8D%E7%A7%B0%EF%BC%89%EF%BC%8C%E5%B9%B6%E8%83%BD%E8%87%AA%E5%8A%A8%E7%BB%AD%E6%9C%9F%E8%AF%81%E4%B9%A6%EF%BC%8C%E6%B7%BB%E5%8A%A0%E6%96%B0%E5%9F%9F%E5%90%8D%E6%97%B6%E4%B9%9F%E4%BC%9A%E8%87%AA%E5%8A%A8%E8%8E%B7%E5%8F%96%E8%AF%81%E4%B9%A6%E3%80%82

核心功能和特性

• 通配符证书支持：通过dns-01验证实现通配符证书（如*.example.com）的获取和续期
• 多域名与SANs：支持单证书包含多个域名及备用名称
• 自动管理：证书自动续期，新增域名时自动获取
• 实时监控：使用inotify监控域名配置文件变化，运行中更新域名列表会自动生效
• DNS提供商集成：通过https://github.com/AnalogJ/lexicon%E5%BA%93%E6%94%AF%E6%8C%81%E5%A4%9A%E7%A7%8DDNS%E6%8F%90%E4%BE%9B%E5%95%86%E7%9A%84%E8%87%AA%E5%8A%A8TXT%E8%AE%B0%E5%BD%95%E7%AE%A1%E7%90%86
• 测试环境支持：可配置使用Let's Encrypt staging服务器，适合测试场景

使用场景和适用范围

• 需要为多个子域名提供通配符SSL证书的场景
• 需自动管理SSL证书生命周期（获取、续期）的环境
• 使用支持Lexicon的DNS服务商（如CloudFlare、AWS Route53等）的用户
• 需要为单个证书配置多个SANs的多域名服务

使用方法和配置说明

注册和接受Let's Encrypt条款

要使用Let's Encrypt签发证书，必须注册并同意其服务条款。可通过在容器内运行以下命令完成：

bash
/dehydrated --register --accept-terms

若使用docker-compose，可执行：

bash
docker-compose run letsencrypt /dehydrated --register --accept-terms

为便于自动化，可设置环境变量ACCEPT_CA_TERMS（任何非空值）自动接受条款。注意：这将自动接受未来条款的任何变更。

定义域名

容器定义了/letsencrypt卷，需在/letsencrypt/domains.txt中配置域名列表。证书将输出到/letsencrypt/certs/{domain}目录。

domains.txt格式：每行一个证书，主域名后可跟备用名称（SANs），例如：

example.com *.example.com
domain.com www.domain.com

上述配置将请求两个证书：一个example.com的通配符证书，一个包含[***]

容器会监控domains.txt文件变化，运行中更新文件会自动生效。

DNS提供商配置

为验证域名所有权，需自动创建TXT记录。此功能由Lexicon库处理，支持多种DNS提供商。Lexicon通过环境变量配置，完整说明见其https://github.com/AnalogJ/lexicon/blob/master/README.md%E3%80%82

示例：CloudFlare配置

bash
docker run ... \
  -e "PROVIDER=cloudflare" \
  -e "LEXICON_CLOUDFLARE_USERNAME=email@address.com" \
  -e "LEXICON_CLOUDFLARE_TOKEN=api-key-here"

其他配置

• 测试环境：设置STAGING环境变量（非空值）可使用Let's Encrypt staging服务器，限制更宽松，适合测试
• 联系***：通过EMAIL环境变量设置联系***，Let's Encrypt会用于重要服务通知

运行示例

Docker run命令示例

bash
# 创建存储目录（也可使用Docker卷）
mkdir /tmp/letsencrypt
echo "example.com *.example.com" > /tmp/letsencrypt/domains.txt

docker run -d --restart=always \
  -e "EMAIL=admin@domain.com" \
  -e "STAGING=true" \
  -e "ACCEPT_CA_TERMS=true" \
  -e "PROVIDER=cloudflare" \
  -e "LEXICON_CLOUDFLARE_USERNAME=email@address.com" \
  -e "LEXICON_CLOUDFLARE_TOKEN=api-key-here" \
  -v /tmp/letsencrypt:/letsencrypt \
  docker.xuanyuan.run/fhriley/letsencrypt-wildcard:latest

docker-compose配置示例

yaml
version: "2"
services:
  letsencrypt:
    image: fhriley/letsencrypt-wildcard:latest
    container_name: letsencrypt
    hostname: letsencrypt
    restart: always
    volumes:
      - /tmp/letsencrypt:/letsencrypt
    environment:
      - EMAIL=***
      - STAGING=true
      - ACCEPT_CA_TERMS=true
      - PROVIDER=cloudflare
      - LEXICON_CLOUDFLARE_USERNAME=***
      - LEXICON_CLOUDFLARE_TOKEN=api-key-here