tozny/rancher-lets-encrypt

Rancher Let's Encrypt服务

Let's Encrypt验证方式

Let's Encrypt有两种验证域名所有权的方法：一是添加自定义DNS记录，二是通过HTTP的webserver webroot验证。本镜像采用webroot验证方式，避免授予DNS记录更新权限的安全风险。

服务概述

本服务为Rancher环境提供Let's Encrypt证书的自动化管理能力，支持证书自动续期，与Rancher API深度集成，确保负载均衡器等服务零 downtime 获取更新后的证书。已在生产环境使用超过一年，可稳定续期40+子域名证书。

核心功能

• 自动创建与续期Let's Encrypt证书
• 通过webroot验证域名所有权
• 与Rancher API集成，自动同步证书到Rancher资源
• 支持staging/production环境切换
• 零 downtime 证书更新

使用场景

• Rancher集群中需要TLS证书的服务（如负载均衡器、API网关）
• 希望避免DNS验证方式的安全风险场景
• 需要证书自动续期的生产环境

配置说明

负载均衡器配置（基于Rancher GUI v1.3.3）

1. 添加/编辑负载均衡器，填写名称
2. 在端口规则添加以下条目（替换为实际域名）： | 访问方式 | 协议 | 请求主机 | 端口 | 路径 | 目标 | 端口 | |----------|------|----------|------|------|------|------| | 公开 | HTTP | yourserver.name.com |80 |/.well-known/ |letsencrypt-nginx |80 |

注意：若使用HTTP转HTTPS重定向，需排除/.well-known/目录：

frontend 80
  redirect scheme https code 301 if !{ url_dir /.well-known/ } !{ ssl_fc }

部署要求

• 域名DNS控制权（可创建指向Rancher IP的记录）
• 负载均衡器暴露80端口供Let's Encrypt验证
• Rancher版本v1.1.4-v1.4.2
• Rancher Cattle调度器

部署方法

Rancher Compose

bash
# 使用生产环境证书需设置STAGING=False
rancher-compose --env-file .env up

Rancher Catalog

1. 进入Rancher Admin > Settings
2. 在Catalog部分添加仓库：名称（如rancher-lets-encrypt）、仓库URL、分支
3. 从Catalog菜单选择该服务，配置后启动

证书工作流

1. 从Rancher API获取证书
   • 存在本地证书：
     • 证书在Rancher中：
       • 升级staging/自签名证书到生产 → 创建并推送
       • Rancher证书过期：本地过期则续期，否则推送本地证书
     • 证书不在Rancher中：本地过期则创建，否则推送
   • 无本地证书：创建并推送
   • 支持staging/production环境切换