neyslim/ultimate-ca-manager

终极证书管理器

!版本 !Docker

基于Web的证书颁发机构(CA)管理工具，支持PKI协议。

UCM提供证书生命周期管理、CA层级结构以及行业标准协议（ACME、SCEP、EST、OCSP、CRL/CDP），集成Microsoft ADCS、多因素认证和证书发现功能。

多架构支持： linux/amd64、linux/arm64

!https://raw.githubusercontent.com/NeySlim/ultimate-ca-manager/main/docs/screenshots/dashboard-dark.png

---

快速开始

bash
docker run -d \
  --name ucm \
  -p 8443:8443 \
  -p 8080:8080 \
  -v ucm-data:/opt/ucm/data \
  --restart unless-stopped \
  neyslim/ultimate-ca-manager:latest

访问地址： https://localhost:8443
默认凭据： admin / changeme123 — 请立即修改。

Docker Compose配置

yaml
services:
  ucm:
    image: neyslim/ultimate-ca-manager:latest
    container_name: ucm
    ports:
      - "8443:8443"
      - "8080:8080"   # HTTP — CRL/CDP和OCSP公共端点
    volumes:
      - ucm-data:/opt/ucm/data
    environment:
      - UCM_FQDN=ucm.example.com
    restart: unless-stopped

volumes:
  ucm-data:

---

核心功能

• CA管理 — 根CA和中间CA，层级视图，导入/导出
• 证书生命周期 — 颁发、签名、吊销、续订、导出（PEM、DER、PKCS#12），批量操作
• CSR管理 — 创建、导入、签名证书签名请求
• 证书模板 — 服务器、客户端、代码签名、电子邮件预设模板
• 证书发现 — 网络扫描、扫描配置文件、计划扫描、证书导入
• 证书工具箱 — SSL检查器、CSR/证书解码器、密钥匹配器、格式转换器
• 信任存储 — 管理受信任的根CA证书，提供过期提醒
• 证书链修复 — 基于AKI/SKI的证书链验证与自动修复
• ACME — RFC 8555标准，自动注册、自动续订，支持DNS-01/HTTP-01挑战和通配符证书
• SCEP — RFC 8894设备自动注册，带审批工作流
• EST — RFC 7030安全传输注册协议
• OCSP — RFC 6960实时证书状态查询
• CRL/CDP — 证书吊销列表分发，支持Delta CRL
• Microsoft ADCS集成 — 通过AD CS签名证书，模板发现，EOBO支持
• HSM支持 — 内置SoftHSM，支持PKCS#11、Azure Key Vault、Google Cloud KMS
• DNS提供商 — Cloudflare、Route53、Azure DNS等，支持ACME DNS-01挑战
• Webhooks — 基于事件的证书生命周期通知
• 认证方式 — 密码、WebAuthn/FIDO2、TOTP双因素认证、mTLS、API密钥
• 单点登录(SSO) — LDAP/Active Directory、OAuth2（Google、GitHub、Azure AD）、SAML 2.0
• RBAC权限控制 — 4种内置角色（管理员、操作员、审计员、查看者）+ 自定义角色
• 策略与审批 — 证书颁发策略与审批工作流
• 审计日志 — 操作日志记录，带完整性验证和远程syslog转发
• 报告功能 — 计划PDF报告、执行摘要、自定义模板
• 邮件通知 — SMTP支持，可自定义模板，证书过期提醒
• 备份与恢复 — 手动和计划备份，带保留策略
• 控制台 — 可自定义拖放小部件，实时统计
• 6种主题 — 3种配色方案（灰色、紫色之夜、橙色日落）× 明/暗模式
• 国际化 — 9种语言（英语、法语、德语、西班牙语、意大利语、葡萄牙语、乌克兰语、中文、日语）
• 实时更新 — WebSocket实时推送

---

架构组成

---

环境变量

---

镜像标签

• latest — 最新稳定版
• 版本标签（如 2.48、2.49）

镜像详情

• 基础镜像：Python 3.11 Alpine
• 用户：非root（UID 1000）
• 服务器：Gunicorn生产级WSGI
• 支持平台：linux/amd64, linux/arm64

---

数据持久化

将 /opt/ucm/data 挂载为卷：

bash
docker run -v ucm-data:/opt/ucm/data ...

包含内容：SQLite数据库、HTTPS证书、CA文件、备份。

---

备份与恢复

bash
# 备份
docker run --rm -v ucm-data:/data -v $(pwd):/backup \
  alpine tar czf /backup/ucm-backup.tar.gz -C /data .

# 恢复
docker run --rm -v ucm-data:/data -v $(pwd):/backup \
  alpine tar xzf /backup/ucm-backup.tar.gz -C /data

---

主机间迁移

bash
# 源主机
docker stop ucm
docker run --rm -v ucm-data:/data -v $(pwd):/backup \
  alpine tar czf /backup/ucm-data.tar.gz -C /data .
scp ucm-data.tar.gz user@新主机:~/

# 目标主机
docker volume create ucm-data
docker run --rm -v ucm-data:/data -v $(pwd):/backup \
  alpine tar xzf /backup/ucm-data.tar.gz -C /data
# 按常规方式启动容器

---

文档资源

• https://github.com/NeySlim/ultimate-ca-manager
• https://github.com/NeySlim/ultimate-ca-manager/wiki
• https://github.com/NeySlim/ultimate-ca-manager/blob/main/CHANGELOG.md
• https://github.com/NeySlim/ultimate-ca-manager/issues

---

许可证

BSD 3-Clause License