24、自动化 HTTPS、TLS 证书与 Docker 容器管理

自动化 HTTPS、TLS 证书与 Docker 容器管理

1. 自动化 HTTPS 和 TLS 证书

在现代网络环境中，HTTPS 已成为面向公众的网站和应用程序的必备功能，在内部服务中使用也十分普遍。Ansible 可以自动化使用 TLS 证书对所有 HTTP 流量进行加密的过程，无论证书类型或使用场景如何。

1.1 自签名证书

自签名证书有助于确保某些环境可以通过 HTTPS 访问，但存在一些缺点。主要问题是，每个访问者首次访问时都必须确认安全例外，并且像 curl 这样的命令行工具和 HTTP 库在遇到自签名证书时通常会失败，除非你特别忽略证书信任设置，而这存在安全风险。

运行一个 Ansible playbook 可以配置 Nginx，使其在配置更改后（或在首次配置时复制模板）强制重启。运行该 playbook 后，如果没有错误，你应该能够安全地访问 https://https.test/ （前提是你的 host 文件中有该域名指向服务器 IP 地址的记录）。由于是自签名证书，你可能会收到安全警告，但所有现代浏览器和支持 HTTPS 的工具现在应该能够通过加密连接加载该网站。

如果多次重建 https.test 服务器（从而创建新的自签名证书），请确保删除之前添加到受信任证书列表中的证书（例如，在 macOS 上通过 Keychain Access 为 Chrome 和 Safari 删除，或在 Firefox 的“首选项”>“高级”>“证书”中删除）。

1.2 Let’s Encrypt 免费证书自动化