【HomeLab】2023年！使用acme为群晖NAS自动部署证书

之前一直是用的阿里云的免费证书，只能单个域名申请，有效期一年。这样每年都需要进行证书更新，最近真的是头秃了。在查阅不少资料后，发现使用acme可以快速满足需求。

acme.sh是一款方便,强大的域名证书申请&续签工具，支持一键申请&持久化续签。其支持HTTP验证和 DNS 两种域名验证方式，并且可同时申请多张单域名，泛域名证书，并自动续签证书和部署到项目。如此强大的工具怎能不试试。

最终自己根据场景，选择自动化方案如下，通过阿里云AK，自动化添加TXT记录，进行域名解析校验。进而生成SSL证书进行部署。

1. NAS为内网环境，无公网IP，故PASS掉HTTP方案。
2. acme支持群晖自动部署，其使用登录脚本，进而调用群晖API进行证书部署。

一、 阿里云AK/SK生成

首先需要先申请AK/SK，在这里需要注意一下最小化权限。我们采用子账号授权来进行

1. 打开阿里云子账户页面 https://ram.console.aliyun.com/users
   
   

2. 用户授权，添加对域名解析的访问权限
   
   

3. 生成AK/SK
   
   

保存好获取到的AccessKey ID以及AccessKey Secret，在后面步骤中会用到。

二、 群晖账号生成

同样，为了便于账号区分，在这里我新建了一个acme账号，授予Administrator权限。（最小化权限失败）
一方面是省的关闭自己使用账号的二次认证，另一方面也是以便后面进行日志审计。

控制面板->用户与群组->用户账号->新建

然后一路下一步即可。

三、 Docker部署

通过docker-compose部署即可，相关脚本如下

1. 目录结构

# 目录结构
.
 |docker-compose.yml
 |main
 | |domain.list
 | |add_domain.sh
 | |init_domain.sh
 | |start.sh

2. docker-compose.yml

# docker-compose.yml
version: '3'
services:
  acme-service:
    image: neilpang/acme.sh
    container_name: acme
    volumes:
      - ./data:/acme.sh
      - ./main:/root/main
    environment:
      - Ali_Key= # 第一步获取到的AccessKey ID
      - Ali_Secret= # 第一步获取到的AccessKey Secret
      - SYNO_Hostname= # NAS登录的IP、或者HOST
      - SYNO_Scheme= # NAS登录协议，建议HTTP，免得HTTPS过期产生问题
      - SYNO_Port= # NAS登录端口
      - SYNO_Username= # NAS账号，建议使用新建账户账号
      - SYNO_Password= # NAS密码，建议使用新建账户密码
    tty: true
    command: daemon

3. start.sh

#!/bin/sh
# start.sh
DOMAIN=$1
export SYNO_Certificate=$DOMAIN
export SYNO_Create=$DOMAIN

# DNS类型，dns_ali dns_dp dns_gd dns_aws dns_linode根据域名服务商而定，我使用阿里
DNS='dns_ali'
DNS_SLEEP=20

# 证书服务商，zerossl 和 letsencrypt，我使用letsencrypt
CERT_SERVER='letsencrypt'
generateCrtCommand="acme.sh --force --log --issue --server ${CERT_SERVER} --dns ${DNS} --dnssleep ${DNS_SLEEP} -d "${DOMAIN}""
installCrtCommand="acme.sh --deploy -d "${DOMAIN}"  --deploy-hook synology_dsm"

$generateCrtCommand
$installCrtCommand

4. init_domain.sh

#!/bin/sh
# 循环本地domain.list，并且进行证书部署
for line in `cat /root/main/domain.list`
do
    DOMAIN=$line
    sh /root/main/start.sh $DOMAIN
    echo "[+] $DOMAIN is over.. Please wait...."
    sleep 10
done

5. domain.list

*.hello.com
*.test.cn

6. add_domain.sh

#!/bin/sh

DOMAIN=$1
echo $DOMAIN >> domain.list
sh /root/main/start.sh $DOMAIN
echo "[+] Add $DOMAIN success!"

启动时，在domain.list中填写需要部署的域名即可，然后运行命令。

docker-compose up -d
docker exec acme sh /root/main/init_domain.sh

后续如果还要增加域名可以直接运行如下命令即可。

docker exec acme sh /root/main/add_domain.sh abc.hello.com

注：虽然每次申请为90天，但acme默认会有自动部署检测，所以只要docker正常运行，我们没必要再去进行额外操作。

注2：SSH使用完记得关闭。

代码下载：https://download.csdn.net/download/qq_25924971/87405350

四、 安全加固-监控acme账号登录

TODO：好像群晖没有类似账号登录提示的功能，待进一步查看。

参考资料

• 【SMZDM】群晖使用acme申请泛域名证书并设置自动证书部署
• 【SMZDM】群晖使用acme.sh申请并部署泛域名证书
• 【思有云 - IOIOX】自动化部署证书 acme.sh 详细实践使用教程