群暉利用acme申請自己的SSL証書並自動更新！

charles · 發表於 2023-8-21 03:37:10

群暉利用ACME去申請SSL証書的是非常好用！接下來需要用到Docker去拉acme
在套件中心裡安裝Docker 利用Docker 去拉acme
記得拉3.0.6版～目前3.0.7版測試無法更新証書！！

好了之後開始佈署

將容器名稱修改爲：acme306
進階設定->啟用打勾自動重啟 ->儲存空間->新增資料夾 -> 將/docker/acme目錄對映到容器里的/acme.sh目錄 -> 網路中勾選使用與 Docker Host 相同的網路->  環境設定 -> 新增下面的環境變數 ->執行命令 ->在命令欄新增-> daemon（打開容器的守護程序）-> 新增環境變數如下
＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝
SYNO_Username 群暉使用者ID

SYNO_Password 群暉使用者密碼

SYNO_Port 群暉使用PORT 我設定為443

SYNO_Hostname nas.example.net （NAS的域名）

SYNO_Scheme https 或http （在此我用https)

SYNO_Device_Name  CertRenewal (隨便填 acme官方內建寫這個名字）

SYNO_Certificate example.net （申請的域名申請泛域名可以適用在 *.example.net ）

SYNO_Create 1 (強制建立証書如果目錄下沒有的話）

GOOGLEDOMAINS_ACCESS_TOKEN （因為我是用Google Domaoin 這裡是填API KEY 在GOOGLE DOMAIN裡的ACME DNS API 裡建立的KEY）

＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝＝（因為是用Zero SSL申請所以要先去ZeroSSL建立帳號 https://zerossl.com/）
ACME_EAB_KID ZEROSSL (ZEROSSL帳號名字比如XXX@gmail.com ）
ACME_EAB_HMAC_KEY  （ZEROSSL的KEY）
KEY在網站的Developer 的 ZeroSSL API Key
都建立好後如下圖

好了之後啟動acme306這個Docker

接下來在/docker/acme建立腳本名為runacme.sh 程式碼如下

docker exec acme306 acme.sh --register-account -m XXX@gmail.com
docker exec acme306 acme.sh --issue --dns dns_googledomains -d example.net -d *.example.net
docker exec acme306 acme.sh --deploy -d "example.net" -d "*.example.net" --deploy-hook synology_dsm

複製代碼

XXX@gmail需改成自己的ZEROSSL帳號
example.net 改成自己申請的域名

在群暉的控制台裡－＞任務排程表－＞新增－＞排程任務－＞使用者定義指令碼－＞任務名稱隨便填－＞使用者帳號root－＞排程任務每個月執行一次－＞任務設定－＞使用者定義指令碼填入－＞確定

新增：自動更新憑証代碼把申請到的憑証拷貝到群暉預設憑証路徑因為用acme.sh --deploy-hook synology_dsm指令去佈署一直失敗乾脆用暴力方式直接換掉預設憑証簡單直接！

bash /volume1/docker/acme/runacme.sh >>/volume1/docker/acme/log.txt 2>&1
#!/bin/bash
hash=$(cat "/usr/syno/etc/certificate/_archive/DEFAULT")
folder="/usr/syno/etc/certificate/_archive/"$hash
scp /volume1/docker/acme/XXX.net_ecc/XXX.net.cer $folder/cert.pem
scp /volume1/docker/acme/XXX.net_ecc/fullchain.cer $folder/fullchain.pem
scp /volume1/docker/acme/XXX.net_ecc/xxx.net.key $folder/privkey.pem
if [ -d "/usr/syno/etc/certificate/ReverseProxy" ]; then
cd /usr/syno/etc/certificate/ReverseProxy
for D in *; do
if [ -d "${D}" ]; then
cp -rf $folder/* ./"${D}"
fi
done
fi
cp -rf $folder/* /usr/syno/etc/certificate/system/default/
#DSM 6 舊指令: synoservicectl --reload nginx
#DSM 7 如下:synosystemctl restart nginx
synoservicectl --reload nginx

複製代碼

/volume1/docker/acme/XXX.net_ecc/fullchain.cer 其為資料夾路徑～請自己行更改

接下來可以先執行一遍就會直接把SSL憑証申請好並每個月檢查一次直接更新在群暉的證書裡！非常方便！
第一次執行後去docker\log.txt看會提示你在Google Domain新增一個DNS TXT記錄接下來去你的Google Domain裡新增_acme-challenge.example.net 及值如下圖

打完收工！

		自動登入	找回密碼
密碼			立即註冊

群暉利用acme申請自己的SSL証書並自動更新！

本帖子中包含更多資源