容器优化操作系统 (Docker) 上的 SSL 证书

Question

问题：当端口 80/443 只能分配给 Container Opimized OS 中的一台服务器时，如何让网络流量通过 certbot 服务器然后传输到您的应用程序？

上下文： 常规 certbot 安装不适用于 Google Cloud 的“容器优化操作系统”（它会阻止写访问，因此无法执行任何文件）。所以我使用了一个来自letsencrypt的cerbot docker容器，但它需要打开我当前的网络应用程序正在使用的端口80/443。

以前我会运行 certbot，然后在我的旧实例上停止服务器，认证将保留 90 天。但是，运行 certbot docker 容器仅在端口 80/443 上运行时提供 SSL，但一旦停止，SSL 证书将不再有效。

用于letsencrypt的Docker：https://hub.docker.com/r/linuxserver/letsencrypt

我想在端口 80/443 上托管的 Docker Web 应用程序：https://hub.docker.com/r/lbjay/canvas-docker

Google 容器优化实例信息：https://cloud.google.com/container-optimized-os/docs/concepts/features-and-benefits

Answer 1

这是通过 certbot/dns-google 容器映像中的 Cloud DNS 对 Certbot 使用 DNS 验证的解决方案。它将使用服务帐户凭据在可执行容器中运行certbot-dns-google 插件；这将在主机上绑定安装的位置配置 LetsEncrypt 证书。

您首先需要使用service account credentials 将文件添加到您的实例，以获取DNS Administrator role - 有关更多上下文，请参阅下面的注释。在下面的示例命令中，凭据文件是 dns-svc-account.json（放置在调用命令的工作目录中）。

docker run --rm \
    -v /etc/letsencrypt:/etc/letsencrypt:rw \
    -v ${PWD}/dns-svc-acct.json:/var/dns-svc-acct.json \
    certbot/dns-google certonly \
        --dns-google \
        --dns-google-credentials /var/dns-svc-acct.json \
        --dns-google-propagation-seconds 90 \
        --agree-tos -m team@site.com --non-interactive \
        -d site.com

关于标志的一些说明：

• -v config-dir-mount

  这会挂载配置目录，以便 Certbot 在容器中创建的文件也会在主机的文件系统中传播。

• -v credentials-file-mount

  这会从容器上的主机装载服务帐户凭据。

• --dns-google-credentials path-to-credentials

  容器将使用挂载的服务帐号凭据来管理 Cloud DNS 中的更改，以便通过 ACME 服务器进行验证（涉及创建和删除 DNS TXT 记录）。

• --dns-google-propagation-seconds n | 可选，默认：60

• --agree-tos, -m email, --non-interactive | 可选

  这些对于以非交互方式运行容器很有帮助；当用户交互可能无法进行时（例如持续交付），它们特别有用。

• Certbot command-line reference