ricariel/certbot

certbot-docker

镜像概述

certbot-docker是一款封装了Certbot工具的Docker镜像，旨在提供容器化环境下SSL/TLS证书的全生命周期管理。Certbot是Let's Encrypt官方推荐的证书工具，支持自动获取、续期免费SSL/TLS证书，该镜像简化了Certbot在容器环境中的部署与使用，无需在主机系统安装依赖即可为Web服务（如Nginx、Apache）配置HTTPS加密。

核心功能与特性

• 证书自动化管理：支持Let's Encrypt证书的自动申请、续期与吊销，默认90天有效期自动续期
• 多验证方式支持：兼容HTTP-01（通过80端口验证）、DNS-01（通过DNS记录验证）等多种域名验证方式
• 容器化隔离：独立于主机环境运行，避免系统依赖冲突，降低配置复杂度
• 跨服务适配：生成的证书可通过卷挂载方式供Nginx、Apache、Node.js等各类服务使用
• 轻量级设计：基于官方Python镜像构建，镜像体积小，资源占用低

使用场景与适用范围

• Web服务HTTPS部署：为Docker化的Nginx、Apache等Web服务器配置SSL证书
• 微服务架构：在Kubernetes、Docker Compose等容器编排环境中为微服务提供统一证书管理
• 多域名管理：支持单证书多域名配置，满足多站点服务的证书需求
• 内网/受限环境：通过DNS-01验证方式，为无法开放80端口的内网服务或需Wildcard证书的场景提供支持

使用方法与配置说明

基础使用（HTTP-01验证）

1. 首次获取证书

通过HTTP-01验证方式为example.com和www.example.com获取证书：

bash
docker run -it --rm \
  -v /host/path/certbot/conf:/etc/letsencrypt \  # 持久化存储证书配置
  -v /host/path/certbot/www:/var/www/certbot \    # 挂载验证文件目录
  certbot/certbot certonly \
  --webroot \                                    # 使用Webroot验证模式
  --webroot-path=/var/www/certbot \              # 容器内验证文件路径
  --email admin@example.com \                    # 管理员邮箱（用于证书通知）
  --agree-tos \                                  # 同意服务条款
  --no-eff-email \                               # 不向EFF分享邮箱
  -d example.com \                               # 主域名
  -d www.example.com                             # 附加域名

2. 证书续期

Certbot证书默认90天有效期，可通过以下命令手动触发续期（建议配置定时任务自动执行）：

bash
docker run -it --rm \
  -v /host/path/certbot/conf:/etc/letsencrypt \
  -v /host/path/certbot/www:/var/www/certbot \
  certbot/certbot renew

DNS-01验证（适用于Wildcard证书）

获取泛域名证书（如*.example.com）需使用DNS-01验证，需手动添加DNS TXT记录：

bash
docker run -it --rm \
  -v /host/path/certbot/conf:/etc/letsencrypt \
  certbot/certbot certonly \
  --manual \                                    # 手动模式
  --preferred-challenges dns \                  # 指定DNS验证
  --email admin@example.com \
  --agree-tos \
  -d example.com \
  -d "*.example.com"                            # Wildcard域名

执行后按提示添加TXT记录至域名解析，验证通过后证书将保存至/host/path/certbot/conf。

docker-compose集成示例

yaml
version: '3.8'
services:
  certbot:
    image: certbot/certbot
    volumes:
      - ./certbot/conf:/etc/letsencrypt
      - ./certbot/www:/var/www/certbot
    command: certonly --webroot --webroot-path=/var/www/certbot --email admin@example.com --agree-tos --no-eff-email -d example.com -d www.example.com
    restart: unless-stopped

核心配置参数说明

注意事项

• 端口与网络：HTTP-01验证需确保容器能通过80端口对外提供服务，且Let's Encrypt服务器可访问该端口
• 数据持久化：必须持久化/etc/letsencrypt目录，避免容器重建导致证书丢失
• 权限管理：挂载目录需确保容器内用户（通常为非root）有读写权限，可通过-u参数指定用户ID
• Wildcard证书：仅DNS-01验证支持泛域名证书（*.example.com），需手动或通过插件自动配置DNS记录
• 定时续期：建议通过crontab或容器编排工具的定时任务功能，每日执行renew命令确保证书自动续期