snowmb/traefik-certificate-extractor

Traefik证书提取工具

本镜像基于 https://github.com/DanielHuisman/traefik-certificate-extractor 分叉，用于从Traefik的ACME存储文件中提取Let's Encrypt证书，还可通过Docker API自动重启相关容器。

核心功能

• 从Traefik的acme.json文件提取证书（包含cert.pem、chain.pem、fullchain.pem、privkey.pem）
• 支持扁平化输出（所有证书到同一文件夹）
• 通过Docker API重启带指定标签的容器（证书更新时自动触发）
• 支持包含/排除特定域名列表
• 提供干运行模式（不写入文件或重启容器）

使用场景

• 需要将Traefik管理的证书用于其他非Traefik服务
• 证书更新后自动重启依赖该证书的容器（如Nginx、Node.js服务）
• 批量提取多域名证书并按需求整理

配置说明

命令行参数

Docker部署示例

单容器运行

shell
docker run --name cert-extractor -d \
  -v /opt/traefik:/app/data \  # 挂载Traefik证书所在目录
  -v ./certs:/app/certs \      # 挂载证书输出目录
  -v /var/run/docker.sock:/var/run/docker.sock \  # 用于重启容器
  snowmb/traefik-certificate-extractor -r

Docker Compose配置

yaml
services:
  cert-extractor:
    image: snowmb/traefik-certificate-extractor
    volumes:
      - /opt/traefik/acme.json:/app/data/acme.json:ro  # 只读挂载证书文件
      - ./certs:/app/certs:rw                          # 读写挂载输出目录
      - /var/run/docker.sock:/var/run/docker.sock      # Docker socket
    command: -r --include example.com                  # 启用重启并限定提取域名
    restart: always

容器重启标签规则

为需要重启的容器添加标签：com.github.SnowMB.traefik-certificate-extractor.restart_domain=<DOMAIN>，多个域名用逗号分隔。当提取的证书域名与标签匹配时，容器自动重启。

输出结构

提取后的证书会生成两个目录：

certs/
    example.com/
        cert.pem       # 域名证书
        chain.pem      # 证书链
        fullchain.pem  # 完整证书链（cert + chain）
        privkey.pem    # 私钥
    sub.example.nl/
        ...（同上）
certs_flat/
    example.com.crt       # 扁平化证书
    example.com.key       # 扁平化私钥
    example.com.chain.pem # 扁平化证书链
    ...（同上）