容器化freessl-acme.sh更新nginx实现https证书自动续期
赘述
由于有一定的OS环境洁癖,所以不打算直接在Linux OS环境中直接安装acme.sh,采用容器化的方式安装acme.sh
acme.sh官方其实有做好的docker images,但是由于太闲了所以又重新写了一份(班门弄斧)
正题1: 制作能自签域名证书的镜像
先构建一个带有 acme.sh 基础镜像
cat <<\EOF > acme.sh.Dockerfile FROM alpine:3.15.3 RUN apk --no-cache add curl wget openssl && \ rm -rf /var/cache/apk && \ curl -s https://get.acme.sh | sh -s [email protected] WORKDIR /root/.acme.sh ENTRYPOINT ["/usr/sbin/crond", "-f", "-S","/dev/stdout"] EOF
docker build -f acme.sh.Dockerfile -t san3xian/freessl_acme.sh:v2 .
然后到https://freessl.cn/acme-deploy 注册登陆
并在该站点的 acme页面中添加域名,完成域名的DCV预检测(即配置CNAME,域名解析状态可以在这里查询: https://myssl.com/dns_check.html)
获取token (即ACME 地址中 ****/directory/ 后的字符串)
接着根据实际需求构建域名专属acme镜像用于签发证书,安装证书以及触发 容器化或者节点直接部署运行的nginx reload(后面按需运行的时候修改该容器pid mode和reloadcmd即可)
这里 --issue
命令中由于没有带--days参数,所以默认签的是60天的证书
将下述内容按需修改存于Dockerfile中
FROM san3xian/freessl_acme.sh:v2 ARG acme_token="your_token" \ acme_domain="your_domain" RUN /root/.acme.sh/acme.sh --issue -d ${acme_domain} --dns dns_dp \ --server https://acme.freessl.cn/v2/DV90/directory/${acme_token} && \ mkdir -pv /certs && \ /root/.acme.sh/acme.sh --install-cert -d ${acme_domain} \ --key-file /certs/${acme_domain}_key.pem \ --fullchain-file /certs/${acme_domain}_cert.pem \ --reloadcmd "/bin/kill -s HUP 1"
使用docker build构建镜像
docker build -t san3xian/freessl_acme.sh:yourdomain .
如果上述步骤都没错的话,在构建这个带有域名证书信息的镜像的时候,就能看到申请下来的证书会被打印输出到控制台
并且根据回显内容可知,申请下来的证书保存在了 /root/.acme.sh/${acme_domain}/
路径下,而且证书会被拷贝一份到 /certs
路径下(此路径按实际需求在Dockerfile中修改即可)
在freessl.cn的acme页面中也能看到相应的客户端ID信息
证书的相关配置信息(如install-path和ReloadCmd)在/root/.acme.sh/${acme_domain}/${acme_domain}.conf
文件中
到这里acme.sh自动签证书的步骤就已经基本做完了
acme.sh配置参考: https://blog.freessl.cn/acme-quick-start/
正题2: 适配实际的tls证书使用环境
如前所述,本文是为了用容器化的freessl acme.sh向容器化的nginx进行证书自签,所以下面还会有docker-compose的内容,当然实际操作中用docker run 直接运行容器也可以
前提展开: 由于我这里nginx容器是使用常规镜像启动的,所以我的nginx master的pid在容器的PID namespace就会是1,遂在上文的reloadcmd 中写死了pid
然后我的docker-compose.yml是在server文件夹下的,所以docekr-compose拉起的容器默认会带 server_
前缀,即如docker-compose help中所述:
docker-compose --help -p, --project-name NAME Specify an alternate project name (default: directory name)
docker-compose.yml内容,部分内容按实际需求修改
version: "2" services: nginx: restart: always image: nginx:1.21-alpine volumes: - "/var/lib/nginx/conf.d:/etc/nginx/conf.d" - "/var/lib/nginx/nginx.conf:/etc/nginx/nginx.conf" - "/var/lib/nginx/certs:/etc/nginx/certs" - "/var/lib/nginx/sites-enabled:/etc/nginx/sites-enabled" ports: - "80:80" # http port for private network - "443:443" # https port for private network freessl: restart: always image: san3xian/freessl_acme.sh:yourdomain #修改为你在上文实际打出来的容器镜像 volumes: - "/var/lib/nginx/certs:/certs" tty: true # alpine下不分配伪tty的话BusyBox crond会有的日志不输出到stdout pid: container:server_nginx_1 # 与nginx共享同一个PID namespace, 这里暂时没有找到在docker-compose文件中关联其它container的写法,所以只能完全写死容器名了
可见freessl 和 nginx 容器都挂载了同一个/var/lib/nginx/certs目录,这样nginx就能读到由freessl acme.sh自签下发的tls证书
接着docker-compose up -d 启动了相应的容器后
由于在前文签证书的时候,freessl acme.sh容器中/certs路径还没挂载到节点上,所以此时还需要重新拷贝/签一份证书到certs路径下
docker exec server_freessl_1 "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" --force
如果上述步骤都没错的话,此时nginx也会被触发reload,可以docker logs server_nginx_1 看相关信息,按照实际修改nginx的配置以让tls证书生效即可
由于freessl acme.sh容器中还有crond的守护进程运行着,所以acme.sh也会被定时触发,可以通过docker logs server_freessl_1看相关日志
crontab -l 也可以看到相关任务定时触发配置信息,建议按需将acme.sh触发命令的重定向( > /dev/null
)去除以方便查看acme.sh的cron日志
[root@localhost server]# docker exec server_freessl_1 crontab -l # do daily/weekly/monthly maintenance # min hour day month weekday command */15 * * * * run-parts /etc/periodic/15min 0 * * * * run-parts /etc/periodic/hourly 0 2 * * * run-parts /etc/periodic/daily 0 3 * * 6 run-parts /etc/periodic/weekly 0 5 1 * * run-parts /etc/periodic/monthly 1 0 * * * "/root/.acme.sh"/acme.sh --cron --home "/root/.acme.sh" > /dev/null
如果需要添加多个域名的话,可以直接在freessl容器中运行命令
/root/.acme.sh/acme.sh --issue -d ${acme_domain} --dns dns_dp --server https://acme.freessl.cn/v2/DV90/directory/${acme_token}
和
/root/.acme.sh/acme.sh --install-cert -d ${acme_domain} --key-file /certs/${acme_domain}_key.pem --fullchain-file /certs/${acme_domain}_cert.pem --reloadcmd "/bin/kill -s HUP 1"
即可,这样下一次acme.sh的cron任务触发的时候,多个域名都会被执行证书更新检查