轻松掌握acme-companion：自动化SSL证书管理利器

admin 3个月前 (03-01) 阅读数 19 #开源软件项目

在当今网络安全日益重要的背景下，SSL证书已经成为网站安全不可或缺的一部分。本文将为您详细介绍一个开源项目——acme-companion，它能够帮助您轻松管理SSL证书，确保您的网站安全、可靠。

## 项目介绍

**acme-companion** 是一个轻量级的伴侣容器，专为 **nginx-proxy** 设计。它通过ACME协议自动处理代理Docker容器的SSL证书创建和续期工作。这个项目基于著名的acme.sh客户端，能够与Let's Encrypt或其他ACME兼容的证书颁发机构（CA）进行交互，自动化地创建和更新SSL证书。

## 项目及技术应用场景

在微服务架构和容器化的趋势下，管理多个服务的SSL证书变得日益复杂。acme-companion的出现，就是为了简化这一过程。它适用于以下场景：

- 您正在使用Docker容器部署服务，并希望为这些服务自动创建和更新SSL证书。
- 您需要一个简单的解决方案来处理Let's Encrypt证书的自动续期。
- 您希望通过HTTP-01或DNS-01挑战来验证域名所有权。

## 核心功能解析

acme-companion具备以下核心功能：

- **自动化创建/续期Let's Encrypt或其他ACME CA的证书**：通过集成的acme.sh客户端，实现证书的自动化管理。
- **支持HTTP-01和DNS-01挑战**：通过HTTP或DNS验证来证明域名所有权。
- **自动化更新和重新加载nginx配置**：在证书创建或续期后，自动更新nginx的配置文件并重新加载。
- **支持多域名（SAN）证书和通配符证书**：满足不同场景下的证书需求。
- **启动时创建强RFC7919 Diffie-Hellman组**：增强安全性。

## 安装与配置指南

### 基本用法

要使用acme-companion，您需要先启动nginx-proxy容器，并声明两个可写卷：

- `/etc/nginx/certs`：用于存储证书和私钥（对nginx-proxy容器只读）。
- `/usr/share/nginx/html`：用于写入HTTP-01挑战文件。

然后，您需要启动acme-companion容器，并从nginx-proxy容器中获取卷，同时声明一个存储acme.sh配置和状态的卷：

```shell
$ docker run --detach \
    --name nginx-proxy-acme \
    --volumes-from nginx-proxy \
    --volume /var/run/docker.sock:/var/run/docker.sock:ro \
    --volume acme:/etc/acme.sh \
    --env "DEFAULT_EMAIL=mail@yourdomain.tld" \
    nginxproxy/acme-companion
```

### 代理容器

一旦nginx-proxy和acme-companion容器启动，您可以启动任何您想要代理的容器，并设置`VIRTUAL_HOST`和`LETSENCRYPT_HOST`环境变量：

```shell
$ docker run --detach \
    --name your-proxied-app \
    --env "VIRTUAL_HOST=subdomain.yourdomain.tld" \
    --env "LETSENCRYPT_HOST=subdomain.yourdomain.tld" \
    nginx
```

## 实战案例分析

以下是使用acme-companion的一个实际案例：

假设您有一个运行在Docker容器中的Web服务，您希望为该服务自动创建和更新SSL证书。首先，您按照上述步骤启动nginx-proxy和acme-companion容器。然后，您启动您的Web服务容器，并设置相应的环境变量。acme-companion将自动为您创建和更新SSL证书，确保您的服务始终使用有效的证书。

## 常见问题解答

1. **如何确保acme-companion能够正常工作？**
   - 确保您的宿主机在公网上可达，且80和443端口没有被防火墙阻止。

2. **如果我的服务运行在非80端口上，怎么办？**
   - 您可以使用`VIRTUAL_PORT`环境变量来指定nginx-proxy代理到的端口。

3. **如何处理证书过期问题？**
   - acme-companion会自动尝试续期证书，同时Let's Encrypt会在证书即将过期时通过默认邮箱发送通知。

## 发展历程与未来展望

acme-companion自发布以来，已经成为Docker环境中管理SSL证书的受欢迎工具。其简洁的设计和易用性使得越来越多的开发者选择它来保护他们的服务。未来，我们期待看到acme-companion继续发展，增加更多的功能和改进，以适应不断变化的网络安全需求。

通过本文的介绍，您应该对acme-companion有了更深入的了解。开始使用它来自动化管理您的SSL证书，确保您的网站安全吧！