ployst/letsencrypt

letsencrypt-kubernetes

这是一个适用于从Let's Encrypt请求新证书，并将证书存储到Kubernetes Secret中的Docker镜像，可在Docker Hub上获取：https://hub.docker.com/r/ployst/letsencrypt

镜像概述

本镜像旨在提供一个专门负责证书请求与存储的应用，简化Kubernetes环境下HTTPS证书的管理流程，支持自动或手动刷新证书，并确保证书在集群内的安全存储。

核心功能

• 处理Let's Encrypt的ACME请求（需将请求指向该容器）
• 定期（默认每月）请求新证书（可通过配置调整频率）
• 将新证书存储到Kubernetes的Secret中
• 支持证书更新后触发指定部署的Pod刷新

使用场景

• Kubernetes集群中为服务配置HTTPS证书的场景
• 需要自动管理证书生命周期（申请、更新、存储）的场景
• 希望通过命令行手动控制证书生成与更新的场景

配置说明

环境变量

• EMAIL：申请证书的***地址
• DOMAINS：空格分隔的域名列表（需为其申请证书）
• LETSENCRYPT_ENDPOINT：Let's Encrypt API端点，测试环境可使用https://acme-staging.api.letsencrypt.org/directory
• DEPLOYMENTS：空格分隔的部署名称列表（证书更新后需刷新这些部署的Pod）
• SECRET_NAME：存储证书的Secret名称
• NAMESPACE：Secret所在的Kubernetes命名空间
• TYPE：Secret类型（默认值为Opaque）
• CRON_FREQUENCY：定时任务频率（5段式cron表达式，默认随机时间）

常用命令

生成新证书

bash
kubectl exec -it <pod名称> -- bash -c 'EMAIL=admin@example.com DOMAINS=example.com www.example.com ./fetch_certs.sh'

保存证书为Secret

bash
kubectl exec -it <pod名称> -- bash -c 'DOMAINS=example.com www.example.com ./save_certs.sh'

刷新证书并更新部署

bash
kubectl exec -it <pod名称> -- bash -c 'EMAIL=admin@example.com DOMAINS=example.com www.example.com SECRET_NAME=example-tls DEPLOYMENTS=web-app ./refresh_certs.sh'

Kubernetes部署示例

yaml
apiVersion: v1
kind: Pod
metadata:
  name: letsencrypt-cert-manager
  namespace: default
spec:
  containers:
  - name: letsencrypt
    image: ployst/letsencrypt
    env:
    - name: EMAIL
      value: "***"
    - name: DOMAINS
      value: "example.com [***]"
    - name: SECRET_NAME
      value: "example-tls"
    ports:
    - containerPort: 80 # ACME挑战需暴露80端口