thebrones/certbot-runner

Certbot-Runner

Release 1.0

镜像概述和主要用途

Certbot-Runner是一个在Docker容器中运行的Certbot环境，内置HTTP服务器作为反向代理后端，用于捕获Let's Encrypt的验证挑战。该容器需配合反向代理规则使用，特别适用于具有多个代理服务器的大型集群，实现SSL证书的自动化管理。

核心功能和特性

• Certbot standalone：独立运行的Certbot工具，用于申请和更新Let's Encrypt证书
• 定时任务：通过cron实现每月自动运行Certbot更新证书
• 邮件告警：集成Msmtp服务，在任务失败时发送邮件通知
• 配置后执行动作：支持在证书更新成功后执行自定义命令（如rsync配置文件、重载代理服务器配置等）

使用场景和适用范围

适用于具有多个代理服务器的大型集群环境，需要集中管理SSL证书并确保证书自动更新。尤其适合需要跨多台代理服务器同步证书配置的场景。

使用方法和配置说明

配置文件准备

1. domains.conf

需挂载包含目标域名列表的文件，每行一个域名：

example.com
example2.com

2. settings.conf

需挂载包含配置选项的文件，支持以下参数：

EMAIL='example@example.com'  # 用于Certbot注册和邮件告警的邮箱
TOS='--agree-tos --dry-run'  # Certbot条款同意参数，--dry-run为测试模式
RIGHTS='1000:1000'           # 输出文件的UID:GID，如www-data用户可设为33:33
ACTON='curl https://example.com/trigger && curl https://example.com/trigger'  # 证书更新成功后执行的命令

3. msmtprc

需挂载邮件配置文件到/etc/msmtprc，用于配置邮件发送服务：

conf
account default
host mailserver.com  # 邮件服务器地址
port 25              # 邮件服务器端口
from docker.xuanyuan.run/"certificatealert@myserver.com"  # 发件人邮箱
logfile /var/log/msmtp.log  # 日志文件路径

输出目录

证书文件（.pem格式）将生成在容器内的/output/目录，需通过卷挂载持久化存储。

Docker部署示例

1. 使用docker run命令

bash
docker run docker.xuanyuan.run/thebrones/certbot-runner \
  -v /use/local/path/domains.conf:/domains.conf \
  -v /use/local/path/settings.conf:/settings.conf \
  -v /use/local/path/output:/output \
  -v /use/local/path/msmtprc:/etc/msmtprc \
  -p 8080:80

2. 使用docker-compose配置

yaml
version: '3'
services:
  certbot-runner:
    image: docker.xuanyuan.run/thebrones/certbot-runner
    ports:
      - 8080:80
    volumes:
      - /use/local/path/domains.conf:/domains.conf
      - /use/local/path/settings.conf:/settings.conf 
      - /use/local/path/output:/output
      - /use/local/path/msmtprc:/etc/msmtprc 

反向代理配置示例（HAProxy）

haproxy
# 前端规则：转发Let's Encrypt验证请求到Certbot容器
frontend http_front
   bind *:80
   acl acme-challenge path_beg /.well-known/acme-challenge/
   use_backend certbot if acme-challenge

# 后端配置：指向Certbot容器
backend certbot
   server certbot-runner certbot-runner-ip:8080  # 替换为实际容器IP
   # 注意：无需健康检查，后端仅在验证时短暂启动

参考来源

• https://hub.docker.com/r/certbot/certbot
• https://certbot.eff.org/docs/install.html#running-with-docker
• [***]
• [***]