itzg/cert-helper

cert-helper

镜像概述和主要用途

一个帮助创建自签名或集群签名证书的Docker镜像，适用于其他Docker容器中的TLS使用场景。通过该镜像可以便捷地初始化证书颁发机构(CA)并生成由其签名的证书，支持Docker卷和主机目录存储证书文件。

核心功能和特性

• 初始化自签名CA，建立证书颁发机构
• 生成由CA签名的服务器/应用证书
• 支持通过Docker卷或主机目录持久化存储CA和证书
• 提供证书内容查看功能，验证证书信息
• 需配合交互终端(TTY)使用，支持openssl密码输入

使用场景和适用范围

• 开发/测试环境中需要为多个容器创建由同一CA签名的证书
• 容器化应用间需要TLS加密通信时的证书管理
• 需要快速生成自签名证书而无需手动配置openssl的场景

详细的使用方法和配置说明

准备工作：创建持久化存储

若需创建多个由同一CA签名的证书，必须将/ca目录挂载到主机目录或创建可复用的Docker卷：

创建Docker卷（推荐）：

bash
docker volume create --name ca-certs

必须使用交互终端

使用init或create命令时，需始终指定-it（或--interactive=true --tty=true）参数，以允许openssl提示输入CA密钥密码。

初始化CA

使用init命令初始化CA存储（卷或主机目录）：

使用Docker卷：

bash
docker run -it -v ca-certs:/ca itzg/cert-helper init

使用主机目录（当前目录下的ca文件夹）：

bash
docker run -it -v $(pwd)/ca:/ca itzg/cert-helper init

生成签名证书

生成可挂载到服务器/应用容器的TLS证书：

使用Docker卷

bash
# 创建证书存储卷
docker volume create --name server-certs
# 生成证书（<host volume>为初始化CA时使用的卷或目录）
docker run -it -v <host volume>:/ca -v server-certs:/certs itzg/cert-helper create

使用主机目录（当前目录下的certs文件夹）

bash
docker run -it -v <host volume>:/ca -v $(pwd)/certs:/certs itzg/cert-helper create

注意：上述命令中的<host volume>需替换为初始化CA时使用的Docker卷名称或主机目录路径

验证证书内容

查看生成的证书信息：

bash
docker run -it -v <ca host volume>:/ca:ro -v <certs host volume>:/certs:ro cert-helper show

建议使用:ro（只读）模式挂载卷，避免证书文件意外损坏，这也是证书挂载到应用容器时的推荐方式

使用本地目录替代Docker卷

除Docker卷外，也可直接生成证书到主机目录：

bash
# 创建本地目录结构
mkdir -p certs/ca
# 初始化CA到本地目录（--rm自动清理容器，-u指定当前用户避免权限问题）
docker run -it --rm -u $(id -u) \
  -v $(pwd)/certs/ca:/ca -v $(pwd)/certs:/certs itzg/cert-helper \
  init

注意事项

• 该镜像目前不支持CA或已签名证书过期后的重新签发功能
• 生产环境中建议使用正式CA而非自签名证书
• 证书文件应妥善保管，避免泄露私钥