safarov/certbot

Certbot Docker镜像文档

镜像概述

本镜像基于Certbot工具构建，提供容器化方式生成、管理和续期SSL/TLS证书，支持Let's Encrypt等证书颁发机构。无需在主机系统直接安装Certbot依赖，通过容器即可完成证书的创建与自动更新，简化证书管理流程。

核心功能

• 生成受信任的SSL/TLS证书，支持RSA密钥加密
• 提供测试证书生成功能，避免正式环境请求限制
• 支持通过systemd服务实现证书自动续期
• 证书文件持久化存储，通过卷挂载确保数据不丢失

使用场景

• Web服务器（如Nginx、Apache）SSL证书配置
• 需要HTTPS加密的应用服务部署
• 自动化证书生命周期管理的生产环境
• 开发测试环境的SSL证书验证

使用方法

生成正式证书

通过以下命令生成受信任证书，证书将存储在/etc/letsencrypt目录：

bash
docker run -p 80:80 \
           -v /etc/letsencrypt:/etc/letsencrypt \
           safarov/certbot --rsa-key-size 4096 \
                   -m your-email@example.com \
                   -d certbot.example.com

参数说明：

• -p 80:80：映射HTTP端口（Let's Encrypt验证需使用80端口）
• -v /etc/letsencrypt:/etc/letsencrypt：挂载主机目录用于证书持久化存储
• --rsa-key-size 4096：指定RSA密钥长度为4096位
• -m：指定用于证书通知的***地址
• -d：指定需要申请证书的域名

生成测试证书

为避免正式环境请求频率限制，可先使用测试证书进行验证：

bash
docker run -p 80:80 \
           -v /etc/letsencrypt:/etc/letsencrypt \
           safarov/certbot --test-cert --rsa-key-size 4096 \
                   -m your-email@example.com \
                   -d certbot.example.com

参数说明：

• --test-cert：使用Let's Encrypt测试环境，证书不被浏览器信任，仅用于测试

证书自动续期配置

通过systemd服务实现证书定期自动续期，需创建以下两个文件：

1. 服务文件（/etc/systemd/system/certbot-docker.service）

ini
[Unit]
Description=certbot容器证书续期服务
After=docker.service network-online.target
Requires=docker.service

[Service]
Type=oneshot
IOSchedulingClass=idle
Nice=19
# 单个ExecStart行避免某些systemd版本的bug
ExecStart=/bin/sh -c 'docker rm -f certbot; \
          docker run -t -p 80:80 --name certbot \
                 -v /etc/letsencrypt:/etc/letsencrypt \
                 safarov/certbot renew; \
          docker rm -f certbot'

# 如需将新证书同步到其他主机，取消以下注释
#ExecStartPost=/usr/bin/rsync -e 'ssh -o "StrictHostKeyChecking=yes"' \
#                             --recursive --links /etc/letsencrypt \
#                             other-host.example.org:/etc/letsencrypt

2. 定时器文件（/etc/systemd/system/certbot-docker.timer）

ini
[Unit]
Description=每15天自动续期Certbot证书

[Timer]
OnBootSec=15d          # 系统启动后15天首次执行
OnUnitActiveSec=15m    # 上次执行后15分钟再次检查（实际续期频率由Certbot控制）
Unit=certbot-docker.service

[Install]
WantedBy=multi-user.target

启用自动续期

bash
systemctl enable certbot-docker.timer

注意事项

• 确保80端口未被其他服务占用，Let's Encrypt验证需要通过80端口完成
• 证书默认有效期为90天，自动续期功能需确保systemd定时器正常运行
• 生产环境建议使用正式证书，测试证书仅用于功能验证
• 证书文件存储在主机/etc/letsencrypt目录，需确保目录权限正确