Docker系列：基于docker部署 acme.sh 申请腾讯云泛域名证书并自动续签

前言

个人使用证书一般都是腾讯云或者阿里云得免费证书，但是免费证书不支持泛域名，并且一年后要重新申请再部署，如果域名较多的话，还是比较繁琐。因此，使用docker部署 acme.sh 的方式免费申请泛域名证书以及配置自动续签，保证https不会到期中断。本文的dns泛域名基于API方式，使用的是腾讯云，需要先申请腾讯云的DNS Token

一、腾讯云DNS Token申请

1. 打开DNSPod 控制台
   腾讯云DNSPod： DNSPod
2. 获取 DNSPod Token
   点击右上角头像，点击API密钥，选择DNSPod Token，创建 Token，如下图
   
3. 记住Token啊，这token忘了就只能重新创建了，以后看不到的。

二、部署 acme.sh 容器

1. 先拉取acme.sh docker镜像

docker pull neilpang/acme.sh

2. 创建一个目录，用于挂载acme.sh 生成的证书等文件

cd /data && mkdir acme

3. 创建容器，可以用 docker-compose.yml 和 直接执行docker run

docker run -it -d --name acme --restart=always --net host -v /data/acme:/acme.sh -e DP_Id= 'xxxxx' -e DP_Key='xxxxx' neilpang/acme.sh daemon

这里的 DP_Id 和 DP_Key 就是上面生成的 id 和 token。至于 docker-compose.yml 如下：

version: '3'
services:
  acme-sh:
    image: neilpang/acme.sh
    container_name: acme
    restart: always
    command: daemon
    environment:
      - DP_Id="xxxxx"
      - DP_Key="xxxxx"
    volumes:
      - /data/acme:/acme.sh
    network_mode: host

4. 检查容器
   这里其实就已经部署成功，可以使用docker命令查看容器运行

docker ps

三、自签泛域名证书和自动续签

1. 自签泛域名证书
   acme.sh 容器部署成功后，执行下面命令开始自签泛域名证书：

#最新的需要先注册邮箱
docker exec acme --register-account -m xxxxx@xx.xxx
#生成泛域名证书
docker exec acme --issue --dns dns_dp -d xxx.com -d *.xxx.com

这里使用的是腾讯云dns，所以 --dns 后面是 dns_dp，如果使用其他的请自行查询官网，
-d 后面是你想要签名证书的域名，* 表示所有的子域名。
证书生成后，会在 /data/acme 目录下生成 xxx.com 目录，里面包含生成的证书信息，部署到nginx就可以使用了。

    ssl_certificate /data/acme/xxx.com_ecc/fullchain.cer;
    ssl_certificate_key /data/acme/xxx.com_ecc/xxx.com.key;

2. 使用定时任务保证证书不会过期
   在docker 宿主机添加一条定时任务，让acme去检查证书是否过期，是否能更新证书（一般提前30天即可更新证书），如果可以就会执行证书的更新。这里可以添加一下 acme.sh 的自动更新，保证 acme是最新的版本。

自动更新 acme.sh 脚本
docker exec acme --upgrade --auto-upgrade

添加自动更新任务
10 0 * * * docker exec acme --cron > /dev/null
10 1 * * * nginx -s reload    # 重新加载nginx配置

结束语

如果是其他服务器也需要使用证书，可以通过nfs 挂载的方式，将 /data/acme 共享，需要的服务器直接挂载此目录，就不用部署多个acme.sh 服务了，在一个服务器上就行。但是，证书更新后还是需要远程重载服务器上的 nginx 配置。

本文参考文章：基于docker部署 acme.sh 申请泛域名证书并自动续签