glyptodon/guacamole-ssl-nginx

glyptodon/guacamole-ssl-nginx 镜像文档

镜像概述和主要用途

Glyptodon Enterprise 提供 http://guacamole.apache.org/ 的软件包，遵循最佳实践，接收定期更新并提供商业支持。这些软件包的更新仅通过上游Apache Guacamole的贡献进行，且在不破坏兼容性的前提下进行。

本镜像（glyptodon/guacamole-ssl-nginx）是基于 https://hub.docker.com/_/nginx 构建的Docker化Nginx部署，预配置用于为Guacamole提供SSL终止。它支持：

• 从Let's Encrypt自动获取证书
• 自动生成自签名证书
• 使用已从证书颁发机构获取的现有证书

该镜像作为 Glyptodon Enterprise 的一部分提供，遵循相同的 EULA。通常用于为使用 glyptodon/guacamole 镜像 的容器提供SSL终止。

核心功能和特性

• 多证书支持：兼容Let's Encrypt自动证书、自签名证书和现有第三方证书
• 自动证书管理：Let's Encrypt证书自动续期，自签名证书定期更新（每21天）
• 灵活配置：通过环境变量轻松配置Guacamole后端连接参数
• Docker集成：支持Docker secrets管理敏感信息，与docker-compose无缝配合
• 基于官方Nginx：继承官方Nginx镜像的所有功能和特性

使用场景和适用范围

• 为Glyptodon Enterprise部署提供安全的HTTPS访问
• 开发/测试环境中快速搭建带有SSL的Guacamole服务
• 生产环境中通过Let's Encrypt实现自动化证书管理
• 需要使用企业内部CA颁发证书的安全环境

使用方法和配置说明

启动SSL终止的Nginx实例

要启动一个自动初始化为Apache Guacamole提供SSL终止的Nginx实例（包括从Let's Encrypt自动获取证书）：

shell
docker run --name some-guacamole-ssl \
    -e ACCEPT_EULA=Y \
    -e GUACAMOLE_HOSTNAME=some-guacamole \
    -e SSL_HOSTNAME=guac.example.net \
    -e LETSENCRYPT_ACCEPT_TOS=Y \
    -e LETSENCRYPT_EMAIL=your.email@example.net \
    -d docker.xuanyuan.run/glyptodon/guacamole-ssl-nginx

其中：

• some-guacamole-ssl 是你希望分配给容器的名称
• some-guacamole 是 Guacamole实例或glyptodon/guacamole容器 的主机名或IP地址
• guac.example.net 是用于通过互联网访问Guacamole的公共域名
• your.email@example.net 是你希望注册到Let's Encrypt的电子邮件地址

使用 docker-compose

如果使用Docker部署Glyptodon Enterprise，强烈推荐使用 https://github.com/docker/compose%EF%BC%8C%E5%9B%A0%E4%B8%BA%E4%BB%BB%E4%BD%95%E4%BD%BF%E7%94%A8%E6%8F%90%E4%BE%9B%E7%9A%84Docker%E9%95%9C%E5%83%8F%E7%9A%84Glyptodon Enterprise部署都将涉及多个容器，docker-compose 可以极大地帮助编排这些容器。

例如，使用Let's Encrypt获取SSL证书并使用自动初始化的MySQL数据库进行身份验证的完整Glyptodon Enterprise部署如下：

yaml
version: "3"
services:

    guacd:
        image: docker.xuanyuan.run/glyptodon/guacd
        environment:
            ACCEPT_EULA: Y

    db:
        image: docker.xuanyuan.run/glyptodon/guacamole-db-mysql
        environment:
            ACCEPT_EULA: Y
            MYSQL_RANDOM_ROOT_PASSWORD: "yes"
            GUACAMOLE_DATABASE: guacamole_db
            GUACAMOLE_USERNAME: guacamole_user
            GUACAMOLE_PASSWORD: some_password

    guacamole:
        image: docker.xuanyuan.run/glyptodon/guacamole
        environment:
            ACCEPT_EULA: Y
            GUACD_HOSTNAME: guacd
            MYSQL_HOSTNAME: db
            MYSQL_DATABASE: guacamole_db
            MYSQL_USERNAME: guacamole_user
            MYSQL_PASSWORD: some_password

    ssl:
        image: docker.xuanyuan.run/glyptodon/guacamole-ssl-nginx
        ports:
            - "80:80"
            - "443:443"
        environment:
            ACCEPT_EULA: Y
            GUACAMOLE_HOSTNAME: guacamole
            SSL_HOSTNAME: guac.example.net
            LETSENCRYPT_ACCEPT_TOS: Y
            LETSENCRYPT_EMAIL: your.email@example.net

支持的SSL证书类型

glyptodon/guacamole-ssl-nginx 支持多种生成、获取或使用现有SSL证书的机制。使用的机制取决于创建Docker容器时指定的环境变量。

除了这些机制特定的环境变量外，必须始终指定一组环境变量：

• ACCEPT_EULA - 是否接受Glyptodon Enterprise EULA（使用镜像需要接受EULA）
• GUACAMOLE_HOSTNAME - Guacamole实例的主机名/地址
• SSL_HOSTNAME - 用于访问Guacamole的公共域名

Let's Encrypt

如果只是测试Let's Encrypt的使用，应使用 https://letsencrypt.org/docs/staging-environment/ 而非生产环境：

• LETSENCRYPT_STAGING - 设置为"Y"以使用Let's Encrypt的staging环境而非生产环境

获取的证书将在必要时由镜像自动续期。如果获取失败，容器将停止，失败详情将被记录，下次容器启动时将重试该过程。

glyptodon/guacamole-ssl-nginx 镜像利用Docker卷使Let's Encrypt证书和状态在容器重建时保持持久。

来自任意CA的现有证书

shell
docker kill --signal=SIGHUP some-guacamole-ssl

自签名证书

ACCEPT_EULA

SSL_HOSTNAME

GUACAMOLE_HOSTNAME

GUACAMOLE_PORT

GUACAMOLE_CONTEXT_PATH

SELF_SIGNED

CERTIFICATE_FILE 和 PRIVATE_KEY_FILE

LETSENCRYPT_ACCEPT_TOS

如果打算使用Let's Encrypt，LETSENCRYPT_ACCEPT_TOS 环境变量必须设置为"Y"，以表示您接受 https://letsencrypt.org/repository/%E3%80%82%E9%99%A4%E9%9D%9E%E5%90%8C%E6%84%8F%E7%9B%B8%E5%85%B3%E6%9C%8D%E5%8A%A1%E6%9D%A1%E6%AC%BE%EF%BC%8C%E5%90%A6%E5%88%99%E4%B8%8D%E8%83%BD%E4%BD%BF%E7%94%A8Let's Encrypt。

此环境变量仅在使用Let's Encrypt时需要。如果使用 CERTIFICATE_FILE 和 PRIVATE_KEY_FILE 提供自己的证书，或使用 SELF_SIGNED 进行测试的自签名证书，则会被忽略。

LETSENCRYPT_EMAIL

LETSENCRYPT_STAGING

如果设置为"Y"，则请求使用 https://letsencrypt.org/docs/staging-environment/ 获取SSL证书，而非生产环境。如果只是测试Let's Encrypt功能，应使用此选项。

Docker secrets

除了直接在环境变量中传递数据外，可以为该镜像支持的任何环境变量添加 _FILE 后缀，以强制从容器内的指定文件读取该变量。由于Docker secrets将敏感数据存储在容器内 /run/secrets/ 下的文件中，这可用于从Docker secrets加载敏感数据。

例如，从Docker secrets加载Let's Encrypt账户电子邮件：

shell
docker run --name some-guacamole-ssl \
    -e ACCEPT_EULA=Y \
    -e LETSENCRYPT_ACCEPT_TOS=Y \
    -e LETSENCRYPT_EMAIL_FILE=/run/secrets/letsencrypt-email \
    -d docker.xuanyuan.run/glyptodon/guacamole-ssl-nginx

许可证

此Docker镜像仅根据 Glyptodon Enterprise EULA 的条款提供。通过将环境变量 ACCEPT_EULA 的值设置为"Y"，表示您拥有有效的Glyptodon Enterprise许可证，并且接受您对此Docker镜像的使用受这些条款约束。