说明

个人使用证书一般都是腾讯云或者阿里云得免费证书，但是免费证书不支持泛域名，并且一年后要重新申请再部署，如果域名较多的话，还是比较繁琐。因此，使用docker部署 acme.sh 的方式免费申请泛域名证书以及配置自动续签，保证https不会到期中断。本文的dns泛域名基于API方式，使用的是腾讯云，需要先申请腾讯云的DNS Token

一、腾讯云DNS Token申请

1. 打开DNSPod 控制台

腾讯云DNSPod： 「链接」

2. 获取 DNSPod Token

点击右上角头像，点击API密钥，选择DNSPod Token，创建 Token，如下图

需加以留意：此 token 若被遗忘，则只能重新予以创建，此后便无法再查看。

二、部署 acme.sh 容器

1. 先拉取acme.sh docker镜像

docker pull neilpang/acme.sh

2. 创建一个目录，用于挂载acme.sh 生成的证书等文件

cd /data && mkdir acme

3. 创建容器，可以用 docker-compose.yml 和 直接执行docker run

docker run -it -d --name acme --restart=always --net host -v /data/acme:/acme.sh -e DP_Id= 'xxxxx' -e DP_Key='xxxxx' neilpang/acme.sh daemon

注：这里的 DP_Id 和 DP_Key 就是上面生成的 id 和 token。

至于 docker-compose.yml 如下：

version: '3'
services:
  acme-sh:
    image: neilpang/acme.sh
    container_name: acme
    restart: always
    command: daemon
    environment:
      - DP_Id="xxxxx"
      - DP_Key="xxxxx"
    volumes:
      - /data/acme:/acme.sh
    network_mode: host

4. 检查容器

这里其实就已经部署成功，可以使用docker命令查看容器运行

docker ps

三、自签泛域名证书和自动续签

1. 自签泛域名证书

acme.sh 容器部署成功后，执行下面命令开始自签泛域名证书：

#需要注册邮箱
docker exec acme --register-account -m xxxxx@xx.xxx
#开始签名证书
docker exec acme --issue --dns dns_dp -d xxx.com -d *.xxx.com

• 这里使用的是腾讯云dns，所以 --dns后面是 dns_dp 如果使用其他的请自行查询官网
• -d 后面是你想要签名证书的域名，* 表示所有的子域名。
• 证书生成后，会在 /data/acme 目录下生成 xxx.com 目录，里面包含生成的证书信息，部署到nginx就可以使用了

ssl_certificate /data/acme/xxx.com_ecc/fullchain.cer;
ssl_certificate_key /data/acme/xxx.com_ecc/xxx.com.key;

2. 使用定时任务保证证书不会过期

在docker 宿主机添加一条定时任务，让acme去检查证书是否过期，是否能更新证书（一般提前30天即可更新证书），如果可以就会执行证书的更新。这里可以添加一下 acme.sh 的自动更新，保证 acme是最新的版本。

自动更新 acme.sh 脚本
docker exec acme --upgrade --auto-upgrade
添加自动更新任务
10 0 * * * docker exec acme --cron > /dev/null
10 1 * * * nginx -s reload # 重新加载nginx配置

最后

如果是其他服务器也需要使用证书，可以通过nfs 挂载的方式，将 /data/acme 共享，需要的服务器直接挂载此目录，就不用部署多个acme.sh 服务了，在一个服务器上就行。但是，证书更新后还是需要远程重载服务器上的 nginx 配置。