vdhpieter/letsencrypt-webroot

Let’s Encrypt (webroot) Docker镜像

!Letsencrypt Logo

这是一个基于https://hub.docker.com/r/certbot/certbot/%E5%9F%BA%E7%A1%80%E9%95%9C%E5%83%8F%E7%9A%84Let's Encrypt证书自动获取和续期脚本镜像。

• https://github.com/vdhpieter/docker-letsencrypt-webroot
• https://hub.docker.com/r/vdhpieter/letsencrypt-webroot/

贡献

该项目由https://github.com/kvaps%E5%88%9B%E5%BB%BA%EF%BC%8C%E7%8E%B0%E7%94%B1vdhpieter%E7%BB%B4%E6%8A%A4%E3%80%82%E6%AC%A2%E8%BF%8E%E6%8F%90%E4%BA%A4%E9%97%AE%E9%A2%98%E5%92%8CPR%E4%BB%A5%E5%B8%AE%E5%8A%A9%E6%94%B9%E8%BF%9B%E9%A1%B9%E7%9B%AE%E3%80%82

使用方法

1. 配置Web服务器：确保Web服务器能正确提供/.well-known/acme-challenge目录的内容。例如，在nginx中添加以下配置：

nginx
location '/.well-known/acme-challenge' {
    default_type "text/plain";
    root        /tmp/letsencrypt;
}

2. 挂载卷：运行Web服务器镜像时，需挂载以下卷：

bash
-v /data/letsencrypt:/etc/letsencrypt
-v /data/letsencrypt-www:/tmp/letsencrypt

3. 运行镜像：

bash
docker run \
  --name some-letsencrypt \
  -v /data/letsencrypt:/etc/letsencrypt \
  -v /data/letsencrypt-www:/tmp/letsencrypt \
  -e 'DOMAINS=example.com www.example.com' \
  -e 'EMAIL=your@email.tld' \
  -e 'WEBROOT_PATH=/tmp/letsencrypt' \
  vdhpieter/letsencrypt-webroot

4. 使用证书：应用程序可使用以下路径的证书：

• 私钥：/etc/letsencrypt/live/example.com/privkey.pem
• 证书：/etc/letsencrypt/live/example.com/cert.pem
• 中间证书：/etc/letsencrypt/live/example.com/chain.pem
• 完整证书链：/etc/letsencrypt/live/example.com/fullchain.pem

注意：需完整挂载/etc/letsencrypt目录，仅挂载/etc/letsencrypt/live会导致证书 symlink 失效。

续期钩子

可配置钩子在获取新证书后执行操作。需：

• 挂载Docker sock：-v /var/run/docker.sock:/var/run/docker.sock
• 链接到目标容器：--link some-nginx
• 设置LE_RENEW_HOOK环境变量：
  • 重新加载nginx：-e 'LE_RENEW_HOOK=docker kill -s HUP @CONTAINER_NAME@'
  • 重启容器：-e 'LE_RENEW_HOOK=docker restart @CONTAINER_NAME@'

Docker Compose示例

以下是与nginx配合使用的docker-compose配置：

yaml
nginx:
  restart: always
  image: nginx
  hostname: example.com
  volumes:
    - /etc/localtime:/etc/localtime:ro
    - ./nginx:/etc/nginx:ro
    - ./letsencrypt/conf:/etc/letsencrypt
    - ./letsencrypt/html:/tmp/letsencrypt
  ports:
    - 80:80
    - 443:443
  environment:
    - LE_RENEW_HOOK=docker kill -s HUP @CONTAINER_NAME@

letsencrypt:
  restart: always
  image: vdhpieter/letsencrypt-webroot
  volumes:
    - /etc/localtime:/etc/localtime:ro
    - /var/run/docker.sock:/var/run/docker.sock
    - ./letsencrypt/conf:/etc/letsencrypt
    - ./letsencrypt/html:/tmp/letsencrypt
  links:
    - nginx
  environment:
    - DOMAINS=example.com www.example.com
    - EMAIL=your@email.tld
    - WEBROOT_PATH=/tmp/letsencrypt
    - EXP_LIMIT=30
    - CHECK_FREQ=30
    - CHICKENEGG=1
    - STAGING=0

一次性运行

添加once参数可让容器在证书更新后立即退出：

bash
docker run ... vdhpieter/letsencrypt-webroot once

环境变量

• DOMAINS：证书对应的域名，例如example.com www.example.com。
• EMAIL：用于紧急通知和密钥恢复的***。
• WEBROOT_PATH：Web服务器中用于验证的目录路径，例如/tmp/letsencrypt。
• CHOWN：证书文件的所有者，默认root:root。
• CHMOD：证书文件的权限，默认644。
• EXP_LIMIT：证书到期前多少天请求续期，默认30天。
• CHECK_FREQ：检查证书的频率，默认30天。
• CHICKENEGG：设置为1时，在没有证书时生成自签名证书（避免部分服务器启动失败），默认1。
• STAGING：设置为1时使用Let's Encrypt测试环境（避免速率限制），默认0。