justfrt/certbot

Alpine-Certbot 镜像文档

镜像概述

Alpine-Certbot是一个基于Alpine Linux的轻量级Docker镜像，集成了Certbot工具，专门用于Let's Encrypt SSL/TLS证书的全生命周期管理。该镜像利用Alpine Linux的轻量特性（体积小、资源占用低），结合Certbot的自动化能力，为容器化环境提供便捷的证书申请、续期和管理解决方案。

核心功能与特性

• 轻量级基础：基于Alpine Linux构建，镜像体积小（通常<50MB），启动速度快，资源占用低
• Certbot集成：预装最新版Certbot工具，支持Let's Encrypt证书的申请、续期、吊销等操作
• 多插件支持：兼容Certbot各类验证插件（如webroot、standalone、dns等），满足不同场景需求
• 证书持久化：支持通过挂载卷持久化存储证书文件，避免容器重启后证书丢失
• 自动化续期：可配置定时任务实现证书自动续期，无需人工干预

使用场景

• 容器化Web服务（如Nginx、Apache）的SSL/TLS证书管理
• 需要自动续期Let's Encrypt证书的环境
• 资源受限环境（如边缘设备、轻量级服务器）的证书管理
• CI/CD流程中集成证书申请与部署环节

使用方法

基本使用（命令行）

1. 证书申请（Webroot验证方式）

bash
docker run -it --rm \
  -v /path/on/host/certbot/conf:/etc/letsencrypt \
  -v /path/on/host/certbot/www:/var/www/certbot \
  alpine-certbot certbot certonly \
  --webroot \
  --webroot-path=/var/www/certbot \
  --email your-email@example.com \
  --agree-tos \
  --no-eff-email \
  -d example.com \
  -d www.example.com

2. 证书申请（Standalone验证方式，需暴露80/443端口）

bash
docker run -it --rm \
  -p 80:80 -p 443:443 \
  -v /path/on/host/certbot/conf:/etc/letsencrypt \
  alpine-certbot certbot certonly \
  --standalone \
  --email your-email@example.com \
  --agree-tos \
  --no-eff-email \
  -d example.com

3. 证书续期

bash
docker run -it --rm \
  -v /path/on/host/certbot/conf:/etc/letsencrypt \
  -v /path/on/host/certbot/www:/var/www/certbot \
  alpine-certbot certbot renew

Docker Compose配置示例

yaml
version: '3'

services:
  certbot:
    image: alpine-certbot
    volumes:
      - ./certbot/conf:/etc/letsencrypt
      - ./certbot/www:/var/www/certbot
    command: certbot renew
    restart: always
    # 如需申请证书，可替换command为：
    # command: certbot certonly --webroot --webroot-path=/var/www/certbot --email your-email@example.com --agree-tos --no-eff-email -d example.com

配置说明

目录挂载

常用Certbot命令参数

自动化续期配置

建议通过crontab或容器重启策略实现定期续期：

1. 使用crontab（宿主机）：

bash
# 每天凌晨3点执行续期检查
0 3 * * * docker run --rm -v /path/on/host/certbot/conf:/etc/letsencrypt -v /path/on/host/certbot/www:/var/www/certbot alpine-certbot certbot renew

2. 使用Docker Compose的restart策略： 配置restart: always并结合外部定时任务工具（如Watchtower）实现容器定期重启执行续期命令。

注意事项

• 首次申请证书需确保域名解析正确且目标端口（80/443）可访问
• 证书默认有效期为90天，建议配置自动续期机制
• 敏感信息（如私钥）需妥善保管，避免挂载目录权限过高
• 如需使用DNS验证方式，需额外安装对应DNS插件（如certbot-dns-cloudflare）