Допустим, ваш контейнер с nginx
запущен. docker ps
выдаёт что-то вроде
CONTAINER ID IMAGE COMMAND CREATED STATUS PORTS NAMES
dcda1cbc1757 nginx:latest "/docker-entrypoint.…" 5 seconds ago Up 4 seconds 80/tcp elated_austin
Установка сертификатов для доменов
Изначально в вашем вопросе не было подробностей, поэтому я написал в комментарии про certbot
. Для вашей задачи это оверкилл, поэтому можете сразу переходить ко второй части, про самоподписной сертификат.
Нужно "зайти внутрь" контейнера и установить в нём certbot
, утилиту, которая устанавливает бесплатные сертификаты от Let's Encrypt
Подключитесь к контейнеру и запустите в нём bash
: docker exec -it dcda1cbc1757 bash
. Здесь dcda1cbc1757
- идентификатор контейнера, напечатанный docker ps
. У вас наверняка другой, замените.
Если идентификатор верный, и контейнер работает, то откроется строка ввода bash
для пользователя root
:
root@dcda1cbc1757:/#
Надеюсь, у вас nginx
запущен из образа nginx:latest
, который собран на базе Debian. Тогде вам нужно обновить пакеты apt
и установить certbot
:
apt update
apt install certbot python3-certbot-nginx -y
Если у вас образ на базе alpine
, то нужные пакеты устанавливаются командой apk add certbot certbot-nginx
.
Запустите certbot
: certbot --nginx
Программа задаст вам пару вопросов, заставит принять пользовательское соглашение, затем проанализирует конфигурационные файлы nginx
и спросит, для каких доменов запрашивать сертификаты.
Сертификаты и сопутствующие технический файлы будут сохранены в каталог /etc/letsencrypt
. По-умолчанию этот каталог находится внутри контейнера, и сертификаты пропадут при пересоздании контейнера. Если вам нужно, чтобы они сохранялись, то перезапустите контейнер nginx
и отмапьте этот каталог на файловую систему хоста: docker run -v /path/in/host/fs:/etc/letsencrypt nginx:latest
(ну или как вы там запускаете).
Установка сертификата для тестирования
Установить самоподписной сертификат
Нужно зайти в контейнер, чтобы сгенерировать сертификат и обновить конфигурационный файл nginx
.
Зайти в контейнер: docker exec -it dcda1cbc1757 bash
. Здесь dcda1cbc1757
- идентификатор контейнера, напечатанный docker ps
. У вас наверняка другой, замените.
В контейнере выполните команды
cd /etc/nginx
mkdir certs
cd certs
openssl req -newkey rsa:2048 -nodes -keyout server.key -x509 -days 365 -out server.crt
Последняя команда задаст вам пяток вопросов об идентификации сертификата, сгенерирует ключ RSA длиной 2048 бит в файл /etc/nginx/certs/server.key
и сертификат в файл /etc/nginx/certs/server.crt
. Срок валидности сертификата 365 дней, ключ без пароля.
Установите какой-нибудь редактор, например vim
: apt install vim -y
Отредактируйте настройки вашего сервера. В примере ниже редактируются настройки дефолтного сервера:
editor /etc/nginx/conf.d/default.conf
Добавьте в параметры сервера listen 443 ssl;
и пути к ключу и сертификату:
server {
listen 80;
listen [::]:80;
listen 443 ssl;
ssl_certificate /etc/nginx/certs/server.crt;
ssl_certificate_key /etc/nginx/certs/server.key;
Сохраните файл.
Перезагрузите nginx
: nginx -s reload
Проверьте (прямо внутри контейнера): curl -k https://localhost
Опция -k
отключает проверку валидности сертификата.
Если всё верно, curl
напечатает содержимое index.html
сервера
<!DOCTYPE html>
<html>
<head>
<title>Welcome to nginx!</title>
<style>
html { color-scheme: light dark; }
body { width: 35em; margin: 0 auto;
font-family: Tahoma, Verdana, Arial, sans-serif; }
</style>
</head>
<body>
certbot --nginx