hamburml/docker-flow-letsencrypt

Docker Flow: Let's Encrypt镜像说明

概述

本镜像兼容Viktor Farcic的Docker Flow: Proxy和Docker Flow: Swarm Listener，通过certbot-auto从Let's Encrypt获取并续期SSL证书，证书存储于/etc/letsencrypt目录（需持久化），并通过定时任务自动续期同步至代理服务，简化HTTPS配置流程。

核心功能

• 自动生成/续期Let's Encrypt SSL证书
• 支持多域名组配置（如主域名+子域名）
• 自定义定时续期任务（默认每日两次）
• 证书同步至Docker Flow Proxy
• 自动备份证书文件
• 支持测试模式（staging）避免Let's Encrypt rate limit
• 安全增强：4096位RSA密钥、HTTP转HTTPS、HSTS、OCSP stapling

使用场景

• Docker Swarm集群中Web服务的HTTPS配置
• 需要自动管理SSL证书的微服务架构
• 与Docker Flow Proxy配合构建高可用反向代理

配置说明

关键环境变量

• DOMAIN_N: 第N组域名（如DOMAIN_1=('example.com' '[***]
• CERTBOT_EMAIL: Let's Encrypt账户***（用于账户找回）
• PROXY_ADDRESS: Docker Flow Proxy服务的DNS名称
• CERTBOT_CRON_RENEW: 续期Cron表达式（默认：('0 3 * * *' '0 15 * * *')）
• CERTBOTMODE: 可选"staging"（测试模式）

部署示例

Docker Service部署

bash
docker service create --name letsencrypt-companion \
    --label com.df.notify=true \
    --label com.df.distribute=true \
    --label com.df.servicePath=/.well-known/acme-challenge \
    --label com.df.port=80 \
    -e DOMAIN_1="('haembi.de' 'www.haembi.de' 'blog.haembi.de')" \
    -e DOMAIN_2="('michael-hamburger.de' 'www.michael-hamburger.de' 'blog.michael-hamburger.de')" \
    -e CERTBOT_EMAIL="your.mail@mail.de" \
    -e PROXY_ADDRESS="proxy" \
    -e CERTBOT_CRON_RENEW="('0 3 * * *' '0 15 * * *')" \
    --network proxy \
    --mount type=bind,source=/etc/letsencrypt,destination=/etc/letsencrypt \
    --constraint 'node.id==<nodeId>' \
    --replicas 1 hamburml/docker-flow-letsencrypt:latest

提示：需提前创建/etc/letsencrypt目录；替换为实际节点ID（通过docker node ls获取）；服务仅支持单实例。

Docker Compose Stack部署

yaml
version: "3"
services:
  letsencrypt-companion:
    image: hamburml/docker-flow-letsencrypt:latest
    networks:
      - proxy
    environment:
      - DOMAIN_1=('haembi.de' 'www.haembi.de' 'blog.haembi.de')
      - DOMAIN_2=('michael-hamburger.de' 'www.michael-hamburger.de' 'blog.michael-hamburger.de')
      - CERTBOT_EMAIL=your.mail@mail.de
      - PROXY_ADDRESS=proxy
      - CERTBOT_CRON_RENEW=('0 3 * * *' '0 15 * * *')
    volumes:
      - /etc/letsencrypt:/etc/letsencrypt
    deploy:
      labels:
        - com.df.servicePath=/.well-known/acme-challenge
        - com.df.notify=true
        - com.df.distribute=true
        - com.df.port=80
      placement:
        constraints: [node.id == <nodeId>]
      replicas: 1
networks:
  proxy:
    external: true

查看日志

bash
docker logs letsencrypt-companion -f