群晖NAS高级服务 - docker 部署 acme.sh 自动申请域名证书
前言
上文已经介绍了 acme.sh 的详细实践使用教程,网上关于群晖NAS上使用acme.sh来自动化申请和部署证书的相关文章已经有很多,由于群晖特殊的环境,只能通过 SSH 登陆到 Linux 环境使用命令来完成操作,对于新手可能并不友好.本文将详细介绍在群晖NAS的DSM 管理界面利用 docker 部署 acme.sh 服务来申请证书.
部署简介
整个部署流程非常简单,具体为以下三个步骤:
准备 DNS API
安装 acme.sh
执行申请命令
准备 DNS API
通过使用域名服务商提供的 API 密钥,让acme.sh自动创建域名验证记录以申请域名证书. acme.sh 支持全球各种域名服务商的 API ,本文将以阿里云,腾讯云,Cloudflare为例.更多 DNS API 支持,请查看:官方dnsapi
阿里云
登陆阿里云控制台 - 访问控制 RAM - 用户管理
新建用户并勾选为该用户自动生成AccessKey
授权该用户,搜索DNS,并将AliyunDNSFullAccess移动至右侧确定.
根据官方dnsapi获取阿里云的API格式为:
export Ali_Key="LTAI4Fd8J9qs4fxxxxxxxxxx"export Ali_Secret="Xp3Z7NDOW0CJcPLKoUwqxxxxxxxxxx"
腾讯云
腾讯云的域名由dnspod.cn管理,登陆管理控制台,右上角选择密钥管理,创建密钥并复制保存好生成的ID和Token.
根据官方dnsapi获取DNSPod.cn的API格式为:
export DP_Id="124xxx"export DP_Key="54ddaa41245837600ce713xxxxxxxxxx"
Cloudflare
登陆 Cloudflare 点域名进入,右侧有如下图 API 信息.首先复制保存Account ID.然后点击Get your API token.
点击Create Token创建新 API Token,具体参考如下:
根据官方dnsapi获取CloudFlare的Using the new cloudflare api token格式为:
export CF_Token="PfCA6tyLxxxxxxxx-sS6ANgqzuVexxxxxxx"export CF_Account_ID="1fs48ec7e2063cb70hacc3xxxxxxxxxx"
群晖 docker 部署
群晖NAS的 docker 容器部署,支持以下两种方式:
docker executable 执行模式
docker daemon 守护模式
docker executable 执行模式
配置 DNS API
手动创建account.conf文件.本文以/docker/acme目录为例.
根据上文获取的 API 格式,复制粘贴并保存.
export DP_Id="xxxxx" export DP_Key="xxxxxxxxxxxxxxxxxxxx" AUTO_UPGRADE='1'
下载镜像启动容器
群晖 docker 注册表中搜索acme.sh并下载latest最新版.
配置容器
卷
添加文件夹以挂载配置文件和证书输出目录,选择本文示例的docker/acme,装载路径为/acme.sh.
环境执行命令中添加以下申请证书命令.本文以本站域名ioiox.com为例,申请泛域名证书.
--issue --dns dns_dp -d ioiox.com -d *.ioiox.com
DNS 参数
请根据域名 DNS 服务商来修改命令,其中dns_dp为 腾讯云DNSPod.cn 服务商,自行根据官方dnsapi修改.例如:dns_ali为阿里云,dns_cf为CLoudflare.
多域名证书
acme.sh 可以同时申请多个域名.例如拥有域名aaa.com,bbb.com,ccc.com,只需要在命令后加上-d 空格 域名即可.
--issue --server letsencrypt --dns dns_dp -d aaa.com -d *.aaa.com -d bbb.com -d *.bbb.com -d ccc.com -d *.ccc.com
运行容器
docker executable 执行模式 完成申请后会自动停止容器
到期续签
容器在申请成功之后会自动停止,请保留不要删除.待证书快到期时,只需点击启动即可再次申请.真正实现一键申请证书的需求.
docker daemon 守护模式
docker daemon 守护模式 和 docker executable 执行模式 的 DNS API 配置和前期部署流程一样,依照上文执行到 环境 步骤.
环境
选择sh的终端,先执行更新命令.
acme.sh --upgrade --auto-upgrade
输入命令申请证书.本文以本站域名ioiox.com为例,申请泛域名证书.
acme.sh --issue --server letsencrypt --dns dns_dp -d ioiox.com -d *.ioiox.com
DNS 参数及多域名证书
DNS 参数及多域名证书参照上文,注意守护模式的命令要多加一个acme.sh.
acme.sh --issue --server letsencrypt --dns dns_dp -d aaa.com -d *.aaa.com -d bbb.com -d *.bbb.com -d ccc.com -d *.ccc.com
到期续签
docker daemon 守护模式 下acme.sh容器会根据申请记录,每60天自动更新证书.
结语
本文讲解的两种部署方式可以根据实际需求选择使用,生成的证书文件务必使用含有完整证书链的fullchain.cer和域名.key来部署,避免因证书不完整出现的错误.博主就是因为出现过几次证书问题才决心研究使用此方案.当然 acme.sh 还有很多的玩法请参考官方项目:
更多群晖NAS相关技巧,教程及信息,请持续关注本站群晖专栏:
本站提供免费和付费的技术支持.你可以通过留言,邮件,QQ的方式来进行技术交流和免费咨询.同时也可以付费支持的方式获得相关的技术支持,项目部署配置等服务.具体相关详情请点击查看 技术支持页面
