olivierdalang/certbot Docker 镜像 - 轩辕镜像 | Docker 镜像高效稳定拉取服务

Certbot Docker部署方案

Certbot的Docker部署方案。Docker Hub仓库。

镜像概述和主要用途

本镜像提供Certbot/Letsencrypt的容器化部署，用于自动获取、续期SSL证书，并支持在证书更新后自动重启相关服务。适用于需要HTTPS支持的Web服务，简化证书管理流程。

核心功能和特性

• 独立容器运行：Certbot在独立容器中运行，不干扰其他服务
• 内置定时任务：容器内运行cron，自动处理证书续期
• Docker集成：通过挂载Docker socket，可重启/重载其他容器
• 备用证书：开发环境下（如localhost）自动生成自签名证书作为备用

使用场景和适用范围

• 生产环境中需要获取和自动续期Let's Encrypt证书的Web服务
• 开发环境中需要临时SSL证书进行测试
• 使用Nginx、Apache、uWSGI等Web服务器的应用
• 需要简化SSL证书管理流程的Docker化部署

使用方法和配置说明

基本部署（docker-compose）

在docker-compose.yml中添加Certbot服务：

yaml
services:
  # 添加certbot服务
  certbot:
    image: olivierdalang/certbot:latest
    restart: always
    environment:
      - EMAIL=***  # 用于证书通知的***
      - DOMAINS=example.com,[***]  # 域名列表，逗号分隔
      - MODE=staging  # 运行模式：staging/production/disabled
      - HOOK=docker restart mystack_nginx_1  # 证书续期后执行的命令
    volumes:
      - certs:/etc/letsencrypt  # 存储证书的卷
      - challenges:/challenges  # 用于ACME挑战的卷
      - /var/run/docker.sock:/var/run/docker.sock  # Docker socket，用于控制其他容器

  # Web服务器服务（Nginx/Apache/uWSGI等）
  webserver:
    # ... 其他配置 ...
    volumes:
      - certs:/certs/  # 挂载证书卷
      - challenges:/challenges/  # 挂载挑战卷

# 卷定义
volumes:
  certs:
  challenges:

环境变量说明

注意：DOMAINS为多个域名时，Certbot会生成包含所有域名的证书，但自签名证书仅使用第一个域名。生产环境使用production模式前请先测试，避免因配置错误触发Let's Encrypt的API调用限制。

Web服务器配置示例

Nginx配置

nginx
# nginx.conf

http {
    # 80端口服务器：重定向到HTTPS（除证书验证请求）
    server {
        listen 80 default_server;
        location /.well-known {
            alias /challenges/.well-known;  # 提供ACME挑战文件
            include  /etc/nginx/mime.types;
        }
        location / {
            return 301 [***]  # 重定向到HTTPS
        }
    }

    # 443端口服务器：HTTPS服务
    server {
        listen          443 ssl default_server;

        ssl_certificate     /certs/cert.pem;  # 证书路径
        ssl_certificate_key /certs/privkey.pem;  # 私钥路径

        # 应用业务配置
        location / {
            # ... 你的应用配置 ...
        }
    }
}

uWSGI配置

bash
uwsgi \
    # ... 其他配置 ...
    --http 0.0.0.0:80 \  # 开放80端口用于ACME挑战
    --https 0.0.0.0:443,/certs/cert.pem,/certs/privkey.pem \  # HTTPS配置
    --static-map /.well-known=/challenges/.well-known \  # 提供ACME挑战文件
    --route-if 'startswith:${REQUEST_URI};/\.well-known/ continue:${REQUEST_URI}' \  # 处理挑战请求
    --route-if-not 'equal:${HTTPS};on redirect-permanent:[***]{HTTP_HOST}${REQUEST_URI}' \  # HTTP重定向到HTTPS
    # ... 其他配置 ...

工作流程说明

1. 容器启动时，根据MODE配置获取证书（Let's Encrypt证书或自签名证书）
2. 定时任务（cron）定期检查证书过期情况，自动续期
3. 证书续期成功后，执行HOOK命令（如重启Web服务器）使新证书生效
4. 证书和挑战文件通过卷共享给Web服务器，确保Web服务器能访问所需文件