paneidos/certbot

Certbot自动化证书申请镜像

镜像概述与主要用途

本镜像旨在自动化证书申请流程，特别适用于Let's Encrypt等免费SSL/TLS证书的获取与更新。通过将挑战文件、配置和日志分离存储，提供安全且可管理的证书生命周期管理方案。

核心功能与特性

• 挑战文件隔离：所有ACME挑战文件存储于/var/www/certbot，与文档根目录分离
• 配置集中管理：证书配置文件统一存储在指定目录/srv/certbot
• 日志独立存储：操作日志单独保存于/var/log/certbot，便于问题排查与审计

使用场景与适用范围

适用于需要自动化管理HTTPS证书的Web服务环境，如Nginx、Apache等Web服务器。特别适合需要定期更新SSL/TLS证书的生产环境，减少手动操作成本。

使用方法与配置说明

Nginx配置

为支持ACME挑战验证，需在Nginx配置中添加以下location块：

nginx
server {
    # 其他自定义配置
    location /.well-known/acme-challenge {
        root /var/www/certbot/$host/;
        # 若需申请多域名证书，将$host替换为固定值，并在证书请求命令中保持一致
    }
    # 如需重定向至HTTPS，添加以下location块
    location / {
        return 301 https://$host$request_uri;
    }
}

申请证书

使用以下命令申请新证书：

bash
docker run --rm \
  -v /var/www/certbot:/var/www/certbot \
  -v /srv/certbot:/etc/letsencrypt \
  -v /var/log/certbot:/var/log/letsencrypt \
  paneidos/certbot certonly -q \
  --agree-tos \
  --webroot \
  -w /var/www/certbot/your.domain.tld \
  -m your@domain.tld \
  -d your.domain.tld

参数说明：

• -v /var/www/certbot:/var/www/certbot：挂载挑战文件目录
• -v /srv/certbot:/etc/letsencrypt：挂载证书配置目录
• -v /var/log/certbot:/var/log/letsencrypt：挂载日志目录
• certonly：仅获取证书不安装
• -q：静默模式
• --agree-tos：自动同意服务条款
• --webroot：使用webroot验证方式
• -w：指定webroot路径
• -m：管理员***
• -d：目标域名

证书续期

使用以下脚本自动续期证书：

bash
# 清理旧的重启标记
test -f /srv/certbot/restart.txt && rm /srv/certbot/restart.txt

# 运行续期命令
docker run --rm \
  -v /var/www/certbot:/var/www/certbot \
  -v /srv/certbot:/etc/letsencrypt \
  -v /var/log/certbot:/var/log/letsencrypt \
  paneidos/certbot renew -q \
  --post-hook "touch /etc/letsencrypt/restart.txt"

# 若证书已更新，重启Web服务器
test -f /srv/certbot/restart.txt && YOUR_WEBSERVER_RESTART_COMMAND

说明：将YOUR_WEBSERVER_RESTART_COMMAND替换为实际的Web服务器重启命令（如systemctl restart nginx）。