前言

个人使用证书一般都是腾讯云或者阿里云得免费证书，但是免费证书不支持泛域名，并且一年后要重新申请再部署，如果域名较多的话，还是比较繁琐。因此，使用docker部署 acme.sh 的方式免费申请泛域名证书以及配置自动续签，保证https不会到期中断。本文的dns泛域名基于API方式，使用的是腾讯云，需要先申请腾讯云的DNS Token

一、腾讯云DNS Token申请

  1. 打开DNSPod 控制台
    腾讯云DNSPod： DNSPod

  2. 获取 DNSPod Token
    点击右上角头像，点击API密钥，选择DNSPod Token，创建 Token，如下图
    DNSPod Token获取

  3. 记住Token啊，这token忘了就只能重新创建了，以后看不到的。

二、部署 acme.sh 容器

  1. 先拉取acme.sh docker镜像
docker pull neilpang/acme.sh
  1. 创建一个目录，用于挂载acme.sh 生成的证书等文件
cd /data && mkdir acme
  1. 创建容器，可以用 docker-compose.yml 和 直接执行docker run
docker run -it -d --name acme --restart=always --net host -v /data/acme:/acme.sh -e DP_Id= 'xxxxx' -e DP_Key='xxxxx' neilpang/acme.sh daemon

这里的 DP_Id 和 DP_Key 就是上面生成的 id 和 token。至于 docker-compose.yml 如下：

version: '3'
services:
  acme-sh:
    image: neilpang/acme.sh
    container_name: acme
    restart: always
    command: daemon
    environment:
      - DP_Id="xxxxx"
      - DP_Key="xxxxx"
    volumes:
      - /data/acme:/acme.sh
    network_mode: host
  1. 检查容器
    这里其实就已经部署成功，可以使用docker命令查看容器运行
docker ps

docker运行容器

三、自签泛域名证书和自动续签

  1. 自签泛域名证书
    acme.sh 容器部署成功后，执行下面命令开始自签泛域名证书：
#需要注册邮箱
docker exec acme --register-account -m xxxxx@xx.xxx
#开始签名证书
docker exec acme --issue --dns dns_dp -d xxx.com -d *.xxx.com

这里使用的是腾讯云dns，所以 --dns后面是 dns_dp 如果使用其他的请自行查询官网
-d 后面是你想要签名证书的域名，* 表示所有的子域名。
证书生成后，会在 /data/acme 目录下生成 xxx.com 目录，里面包含生成的证书信息，部署到nginx就可以使用了

    ssl_certificate /data/acme/xxx.com_ecc/fullchain.cer;
    ssl_certificate_key /data/acme/xxx.com_ecc/xxx.com.key;
  1. 使用定时任务保证证书不会过期
    在docker 宿主机添加一条定时任务，让acme去检查证书是否过期，是否能更新证书（一般提前30天即可更新证书），如果可以就会执行证书的更新。这里可以添加一下 acme.sh 的自动更新，保证 acme是最新的版本。
自动更新 acme.sh 脚本
docker exec acme --upgrade --auto-upgrade

添加自动更新任务
10 0 * * * docker exec acme --cron > /dev/null
10 1 * * * nginx -s reload    # 重新加载nginx配置

结束语

如果是其他服务器也需要使用证书，可以通过nfs 挂载的方式，将 /data/acme 共享，需要的服务器直接挂载此目录，就不用部署多个acme.sh 服务了，在一个服务器上就行。但是，证书更新后还是需要远程重载服务器上的 nginx 配置。