kalaksi/ca-certificates

注意事项

由于自动构建已不可用，本README不会自动更新，但会保持最新。这也意味着GitHub仓库不再作为源码显示。镜像现在通过GitLab CI推送，构建过程日志可在GitLab查看。镜像同时在GitLab可用，建议优先使用GitLab镜像，尤其是在可能触及Docker Hub新限制的情况下。

资源

• GitLab仓库（镜像：registry.gitlab.com/kalaksi-containers/ca-certificates）
• https://hub.docker.com/r/kalaksi/ca-certificates/%EF%BC%88%E9%95%9C%E5%83%8F%EF%BC%9A%60docker.io/kalaksi/ca-certificates%60%EF%BC%89
• https://github.com/kalaksi/docker-ca-certificates

镜像概述

本容器基于Debian的ca-certificates包，运行update-ca-certificates命令，同时允许添加自定义证书。通过这种方式，可以在独立容器中配置和生成CA证书结构，生成的证书目录可供其他容器使用。

当容器内需要使用LDAPS或HTTPS连接等场景，需要CA证书进行验证时，本容器尤为必要。无需为每个此类容器单独安装必要的包或证书，可通过本容器统一管理。

核心功能与特性

• 安装Debian的ca-certificates包并运行update-ca-certificates命令
• 支持两种方式添加自定义证书：
  • 通过环境变量（如CA_CERT_0、CA_CERT_1等）
  • 通过挂载目录到/additional_certs
• 支持为环境变量指定的证书设置文件名（如CA_CERT_0_NAME），便于后续识别
• 透明的构建过程，可通过GitLab CI验证容器与代码的一致性
• 提供版本化标签（遵循语义化版本），确保稳定性

要求状态

使用场景

适用于任何需要CA证书进行验证的容器场景，例如：

• 容器内使用LDAPS协议连接目录服务
• 容器内通过HTTPS访问内部服务（使用自签名证书）
• 统一管理多个容器的CA证书，避免重复配置

使用方法

基本用法

1. 将卷挂载到容器的/etc/ssl/certs目录，容器运行后会在此目录生成证书及符号链接。
2. 其他容器可只读挂载此卷，即可使用生成的CA证书。

添加自定义证书

方式1：通过环境变量

使用环境变量CA_CERT_0、CA_CERT_1等添加自定义证书内容，例如：

• CA_CERT_0="-----BEGIN CERTIFICATE-----...-----END CERTIFICATE-----"

可通过CA_CERT_0_NAME、CA_CERT_1_NAME等环境变量为对应证书指定文件名（建议使用.crt扩展名），例如：

• CA_CERT_0_NAME="my-custom-ca.crt"

方式2：通过挂载目录

将额外证书文件挂载到容器的/additional_certs目录，容器会自动处理该目录下的所有证书。

部署示例

docker run 示例

bash
docker run -v ./ca-certs:/etc/ssl/certs \
  -e CA_CERT_0="$(cat custom-ca.crt)" \
  -e CA_CERT_0_NAME="custom-ca.crt" \
  registry.gitlab.com/kalaksi-containers/ca-certificates

docker-compose 示例

yaml
version: '3'
services:
  ca-certificates:
    image: registry.gitlab.com/kalaksi-containers/ca-certificates
    volumes:
      - ./ca-certs:/etc/ssl/certs
      - ./additional-certs:/additional_certs
    environment:
      - CA_CERT_0="-----BEGIN CERTIFICATE-----...-----END CERTIFICATE-----"
      - CA_CERT_0_NAME="app-ca.crt"

其他容器可通过挂载./ca-certs目录（只读）使用证书：

yaml
services:
  my-app:
    image: my-app-image
    volumes:
      - ./ca-certs:/etc/ssl/certs:ro

开发

TODO

• 实现非root用户运行容器

贡献

详见GitHub仓库：https://github.com/kalaksi/docker-ca-certificates。欢迎各类贡献！

许可证

版权所有 (c) 2018 ***。详见https://github.com/kalaksi/docker-ca-certificates/blob/master/LICENSE%E8%8E%B7%E5%8F%96%E8%AE%B8%E5%8F%AF%E4%BF%A1%E6%81%AF%E3%80%82

与所有Docker镜像一样，构建的镜像可能包含其他软件，这些软件可能采用其他许可证（如基础发行版的软件，以及主要软件的直接或间接依赖）。

对于任何预构建镜像的使用，镜像用户有责任确保对本镜像的任何使用均符合其中包含的所有软件的相关许可证要求。