添加 siyuan certd vaultwarden

2026-04-07 16:03:47 +08:00
parent 3b01ca8ed3
commit 41a586b97b
25 changed files with 2894 additions and 27 deletions
--- a/certd/.env.example
+++ b/certd/.env.example
@@ -0,0 +1,29 @@
+# ===== Certd 基础配置 =====
+
+# Certd 访问域名（必须修改）
+CERTD_DOMAIN=cert.example.com
+
+# Let's Encrypt 邮箱（必须修改）
+CERTBOT_EMAIL=admin@example.com
+
+# ===== 镜像配置 =====
+
+# Certd 镜像（阿里云镜像，国内速度快）
+CERTD_IMAGE=registry.cn-shenzhen.aliyuncs.com/handsfree/certd:latest
+# 备选 Docker Hub 镜像：
+# CERTD_IMAGE=greper/certd:latest
+# 备选 GitHub Packages 镜像：
+# CERTD_IMAGE=ghcr.io/certd/certd:latest
+
+# ===== 目录配置 =====
+
+# Certd 数据目录（SQLite 数据库 + 证书文件）
+CERTD_DATA_DIR=/data/certd
+
+# 备份目录
+BACKUP_DIR=/var/backups/certd
+
+# ===== 高级设置 =====
+
+# 重置管理员密码（设为 true 重启后生效，然后改回 false）
+RESET_ADMIN_PASSWD=false
--- a/certd/README.md
+++ b/certd/README.md
@@ -0,0 +1,282 @@
+# Certd 部署指南
+
+SSL 证书自动化管理工具，支持自动申请、部署和续期 Let's Encrypt / 各种商用证书。
+
+## 功能特性
+
+- 自动申请 Let's Encrypt 免费 SSL 证书
+- 支持阿里云、腾讯云、Cloudflare 等多种 DNS 提供商
+- 自动部署证书到 Nginx、CDN、OSS 等
+- 到期自动续期，无需人工干预
+- Web 管理界面，可视化操作
+
+## 技术栈
+
+| 组件 | 版本 | 说明 |
+|------|------|------|
+| Certd | latest | SSL 证书自动化工具 |
+| SQLite | 内置 | 轻量数据库，无需额外部署 |
+| Nginx | 系统包 | 反向代理 + HTTPS 接入 |
+| Docker | 最新版 | 容器运行环境 |
+
+## 前置条件
+
+1. 一台 Linux 服务器（Ubuntu 22.04/24.04 推荐）
+2. 一个已解析到服务器的域名（如 `cert.example.com`）
+3. 服务器 80/443 端口可从外网访问
+
+## 目录结构
+
+```
+certd/
+├── docker-compose.yml    # 容器编排
+├── .env.example          # 配置模板
+├── deploy.sh             # 一键部署脚本
+├── backup.sh             # 备份脚本
+├── nginx/
+│   └── certd.conf        # Nginx 反向代理配置
+└── README.md             # 本文件
+```
+
+服务器上的数据目录：
+
+```
+/data/certd/              # Certd 数据（SQLite + 证书文件）
+/var/backups/certd/       # 备份文件
+```
+
+## 快速部署
+
+### 第一步：上传文件到服务器
+
+```bash
+# 在本地执行，上传 base 和 certd 目录
+scp -r base/ certd/ root@<服务器IP>:/opt/
+```
+
+### 第二步：登录服务器执行部署
+
+```bash
+ssh root@<服务器IP>
+
+# 如果是全新服务器，先安装基础环境
+cd /opt/base
+cp .env.example .env
+# 可选：编辑 .env 配置 Docker 镜像加速
+bash setup.sh
+
+# 部署 Certd
+cd /opt/certd
+bash deploy.sh
+# 首次运行会生成 .env，按提示修改配置后重新运行
+vi .env
+bash deploy.sh
+```
+
+### 第三步：配置域名解析
+
+在域名服务商（如阿里云 DNS）添加 A 记录：
+
+| 记录类型 | 主机记录 | 记录值 |
+|----------|----------|--------|
+| A | cert | `<服务器公网IP>` |
+
+### 第四步：登录管理后台
+
+1. 浏览器访问 `https://cert.yourdomain.com`
+2. 默认账号: `admin`
+3. 默认密码: `123456`
+
+> **⚠️ 安全提醒：请立即修改默认密码！**
+
+## 配置说明
+
+### .env 配置项
+
+| 变量 | 说明 | 默认值 |
+|------|------|--------|
+| `CERTD_DOMAIN` | 访问域名 | 必填 |
+| `CERTBOT_EMAIL` | Let's Encrypt 邮箱 | 必填 |
+| `CERTD_IMAGE` | Docker 镜像 | 阿里云镜像 |
+| `CERTD_DATA_DIR` | 数据目录 | `/data/certd` |
+| `BACKUP_DIR` | 备份目录 | `/var/backups/certd` |
+| `RESET_ADMIN_PASSWD` | 重置管理员密码 | `false` |
+
+### 重置管理员密码
+
+如果忘记管理员密码：
+
+```bash
+cd /opt/certd
+
+# 1. 修改 .env，设置 RESET_ADMIN_PASSWD=true
+vi .env
+
+# 2. 重新创建容器（restart 不会重新读取 .env，必须用 up -d）
+docker compose up -d
+
+# 3. 查看日志确认重置完成（出现"重置1号管理员用户密码完成"即可）
+docker logs -f --tail 100 certd
+
+# 4. 用默认密码 123456 登录（用户名为原管理员账号，如修改过请查看上一步日志）
+
+# 5. 改回 RESET_ADMIN_PASSWD=false 并重新创建容器
+vi .env
+docker compose up -d
+```
+
+## 日常运维
+
+### 查看日志
+
+```bash
+cd /opt/certd
+docker compose logs -f
+docker compose logs --tail 100
+```
+
+### 备份
+
+```bash
+cd /opt/certd
+bash backup.sh
+```
+
+备份内容包括：
+- SQLite 数据库 + 证书文件（`/data/certd`）
+- 部署配置（`docker-compose.yml` + `.env` + `nginx/`）
+
+备份文件保存在 `/var/backups/certd/`，自动清理 30 天前的旧备份。
+
+> **提示**：Certd 还内置了自动备份流水线功能，可在管理界面中配置定时备份和失败通知，详见「安全加固建议」章节。
+
+### 恢复备份
+
+```bash
+# 查看可用备份
+ls /var/backups/certd/
+
+# 停止服务
+cd /opt/certd && docker compose down
+
+# 恢复数据
+tar xzf /var/backups/certd/<日期>/certd-data.tar.gz -C /data/
+
+# 重启服务
+cd /opt/certd && docker compose up -d
+```
+
+### 升级
+
+```bash
+cd /opt/certd
+
+# 1. 备份当前数据
+bash backup.sh
+
+# 2. 拉取新镜像
+docker compose pull
+
+# 3. 停止旧容器并启动新容器
+docker compose down
+docker compose up -d
+
+# 4. 检查运行状态
+docker compose ps
+docker compose logs --tail 20
+```
+
+### 停止 / 启动
+
+```bash
+cd /opt/certd
+docker compose down      # 停止
+docker compose up -d     # 启动
+docker compose restart   # 重启
+```
+
+## 使用 Certd 管理证书
+
+### 添加 DNS 授权
+
+1. 登录 Certd 管理后台
+2. 进入「授权管理」→「新增」
+3. 选择 DNS 提供商（如阿里云）
+4. 填入 AccessKey ID / Secret
+
+### 创建证书流水线
+
+1. 进入「证书管理」→「新增流水线」
+2. 选择「Let's Encrypt」证书颁发机构
+3. 填写要申请的域名（如 `*.example.com`）
+4. 选择 DNS 授权方式
+5. 配置部署目标（Nginx、CDN 等）
+6. 点击「运行」
+
+### 自动续期
+
+Certd 会自动检查证书过期时间，在到期前自动续期并部署。默认检查间隔为每天一次。
+
+## 安全加固建议
+
+### 1. 修改管理员用户名
+
+官方强烈建议修改默认的 `admin` 用户名。登录后前往「系统管理」→「用户管理」修改管理员账号的用户名，并建议注册一个名为 `admin` 的普通用户并设为禁用，防止被暴力破解。
+
+### 2. 开启站点隐藏
+
+Certd 设置好后日常很少需要访问，建议平时关闭站点访问入口，减少被攻击风险。前往「系统管理」→「系统设置」→「安全设置」→ 开启站点隐藏。
+
+### 3. 启用 2FA 双重验证
+
+Certd 支持 2FA 双重认证登录，建议在「个人设置」中开启。
+
+### 4. 配置自动备份流水线
+
+Certd 内置数据库自动备份功能。在管理界面中创建一个备份流水线，选择「数据库备份」任务，配置定时执行和失败通知，确保数据安全。详见[官方备份文档](https://certd.docmirror.cn/guide/use/backup/)。
+
+## 故障排查
+
+### 容器无法启动
+
+```bash
+# 查看容器状态
+docker compose ps
+
+# 查看详细日志
+docker compose logs --tail 50
+```
+
+### SSL 证书申请失败
+
+```bash
+# 检查域名解析是否正确
+dig cert.yourdomain.com
+
+# 检查 80 端口是否可访问
+curl -I http://cert.yourdomain.com
+
+# 查看 Certbot 日志
+cat /var/log/letsencrypt/letsencrypt.log
+```
+
+### 访问返回 502
+
+```bash
+# 检查 Certd 容器是否运行
+docker compose ps
+
+# 检查 7001 端口
+curl -I http://127.0.0.1:7001
+
+# 检查 Nginx 配置
+nginx -t
+```
+
+## 端口说明
+
+| 端口 | 协议 | 说明 |
+|------|------|------|
+| 80 | TCP | HTTP → HTTPS 重定向 |
+| 443 | TCP | HTTPS（Nginx 反向代理） |
+| 7001 | TCP | Certd HTTP（仅监听 127.0.0.1） |
--- a/certd/backup.sh
+++ b/certd/backup.sh
@@ -0,0 +1,68 @@
+#!/usr/bin/env bash
+set -euo pipefail
+
+# ============================================
+# Certd 备份脚本
+# 备份 SQLite 数据库 + 配置文件
+# ============================================
+
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+cd "$SCRIPT_DIR"
+
+# 加载配置
+if [ -f .env ]; then
+    set -a; source .env; set +a
+else
+    echo "[ERROR] .env 文件不存在，请先运行 deploy.sh" >&2
+    exit 1
+fi
+
+# ===== 配置 =====
+DATA_DIR="${CERTD_DATA_DIR:-/data/certd}"
+BACKUP_BASE="${BACKUP_DIR:-/var/backups/certd}"
+TIMESTAMP=$(date +%Y%m%d_%H%M%S)
+BACKUP_DIR_FULL="${BACKUP_BASE}/${TIMESTAMP}"
+RETENTION_DAYS=30
+
+echo "========== Certd 备份 =========="
+echo "时间: $(date '+%Y-%m-%d %H:%M:%S')"
+echo "数据目录: $DATA_DIR"
+echo "备份目录: $BACKUP_DIR_FULL"
+echo ""
+
+mkdir -p "$BACKUP_DIR_FULL"
+
+# ===== 备份数据目录（SQLite + 证书 + 配置）=====
+echo "[1/3] 备份 Certd 数据..."
+if [ -d "$DATA_DIR" ]; then
+    tar czf "$BACKUP_DIR_FULL/certd-data.tar.gz" -C "$(dirname "$DATA_DIR")" "$(basename "$DATA_DIR")"
+    echo "  ✓ 数据目录已备份"
+else
+    echo "  ⚠ 数据目录不存在: $DATA_DIR"
+fi
+
+# ===== 备份 docker-compose 和配置 =====
+echo "[2/3] 备份部署配置..."
+tar czf "$BACKUP_DIR_FULL/certd-config.tar.gz" \
+    -C "$SCRIPT_DIR" \
+    docker-compose.yml .env nginx/ 2>/dev/null || true
+echo "  ✓ 配置已备份"
+
+# ===== 清理旧备份 =====
+echo "[3/3] 清理 ${RETENTION_DAYS} 天前的旧备份..."
+find "$BACKUP_BASE" -maxdepth 1 -type d -mtime +${RETENTION_DAYS} -exec rm -rf {} \; 2>/dev/null || true
+echo "  ✓ 旧备份已清理"
+
+# ===== 汇总 =====
+echo ""
+echo "========== 备份完成 =========="
+TOTAL_SIZE=$(du -sh "$BACKUP_DIR_FULL" | cut -f1)
+echo "备份位置: $BACKUP_DIR_FULL"
+echo "备份大小: $TOTAL_SIZE"
+echo ""
+echo "备份内容:"
+ls -lh "$BACKUP_DIR_FULL/"
+echo ""
+echo "恢复方法:"
+echo "  tar xzf $BACKUP_DIR_FULL/certd-data.tar.gz -C $(dirname "$DATA_DIR")"
+echo "  cd $SCRIPT_DIR && docker compose restart"
--- a/certd/deploy.sh
+++ b/certd/deploy.sh
@@ -0,0 +1,178 @@
+#!/usr/bin/env bash
+set -euo pipefail
+
+# ============================================
+# Certd 一键部署脚本
+# 自动安装 Docker + Nginx + SSL + Certd
+# ============================================
+
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+cd "$SCRIPT_DIR"
+
+# ===== 加载公共基础函数 =====
+BASE_DIR="$(cd "$SCRIPT_DIR/../base" 2>/dev/null && pwd)" || true
+if [ -z "$BASE_DIR" ] || [ ! -f "$BASE_DIR/setup.sh" ]; then
+    echo "[ERROR] base/setup.sh 未找到" >&2
+    echo "请确保目录结构如下:" >&2
+    echo "  /opt/base/setup.sh" >&2
+    echo "  /opt/certd/deploy.sh  (当前脚本)" >&2
+    exit 1
+fi
+source "$BASE_DIR/setup.sh"
+
+# =============================================================
+#  Certd 专用函数
+# =============================================================
+
+init_env() {
+    step "初始化 Certd 配置"
+
+    if [ ! -f .env ]; then
+        if [ ! -f .env.example ]; then
+            error "缺少 .env.example 模板文件"
+            exit 1
+        fi
+        cp .env.example .env
+        log "已生成 .env 文件"
+        echo ""
+        warn "┌─────────────────────────────────────────────────┐"
+        warn "│  请编辑 .env 文件，至少修改以下配置：              │"
+        warn "│                                                 │"
+        warn "│  CERTD_DOMAIN=cert.yourdomain.com               │"
+        warn "│  CERTBOT_EMAIL=you@yourdomain.com               │"
+        warn "│                                                 │"
+        warn "│  编辑命令: vi $SCRIPT_DIR/.env                  │"
+        warn "│  编辑完成后重新运行: bash deploy.sh              │"
+        warn "└─────────────────────────────────────────────────┘"
+        exit 0
+    fi
+
+    set -a; source .env; set +a
+
+    local has_error=0
+    if [[ -z "${CERTD_DOMAIN:-}" ]] || [[ "${CERTD_DOMAIN}" == "cert.example.com" ]]; then
+        error "请在 .env 中将 CERTD_DOMAIN 修改为你的实际域名"
+        has_error=1
+    fi
+    if [[ -z "${CERTBOT_EMAIL:-}" ]] || [[ "${CERTBOT_EMAIL}" == "admin@example.com" ]]; then
+        error "请在 .env 中将 CERTBOT_EMAIL 修改为你的实际邮箱"
+        has_error=1
+    fi
+    [ "$has_error" -eq 1 ] && { error "请修改 .env 后重新运行"; exit 1; }
+
+    log "配置检查通过"
+    log "  域名: ${CERTD_DOMAIN}"
+    log "  邮箱: ${CERTBOT_EMAIL}"
+}
+
+create_dirs() {
+    step "创建数据目录"
+    local data_dir="${CERTD_DATA_DIR:-/data/certd}"
+    local backup_dir="${BACKUP_DIR:-/var/backups/certd}"
+
+    mkdir -p "$data_dir" "$backup_dir"
+    log "数据目录: $data_dir"
+    log "备份目录: $backup_dir"
+}
+
+start_services() {
+    step "启动 Certd 服务"
+
+    log "正在拉取镜像..."
+    docker compose pull
+
+    log "正在启动容器..."
+    docker compose up -d
+
+    log "等待 Certd 就绪..."
+    local max_wait=30
+    for i in $(seq 1 "$max_wait"); do
+        if curl -sf http://127.0.0.1:7001/ &> /dev/null; then
+            log "Certd 启动成功！"
+            return
+        fi
+        sleep 2
+    done
+    warn "Certd 可能仍在启动中，请稍后检查: docker compose logs -f"
+}
+
+show_info() {
+    set -a; source .env; set +a
+
+    echo ""
+    echo -e "${GREEN}╔══════════════════════════════════════════════════════════╗${NC}"
+    echo -e "${GREEN}║                Certd 部署完成！                          ║${NC}"
+    echo -e "${GREEN}╠══════════════════════════════════════════════════════════╣${NC}"
+    echo -e "${GREEN}║${NC}"
+    echo -e "${GREEN}║${NC}  Web 访问:  ${CYAN}https://${CERTD_DOMAIN}${NC}"
+    echo -e "${GREEN}║${NC}"
+    echo -e "${GREEN}║${NC}  默认账号:  ${CYAN}admin${NC}"
+    echo -e "${GREEN}║${NC}  默认密码:  ${CYAN}123456${NC}"
+    echo -e "${GREEN}║${NC}"
+    echo -e "${GREEN}║${NC}  数据目录:  ${CERTD_DATA_DIR:-/data/certd}"
+    echo -e "${GREEN}║${NC}  备份目录:  ${BACKUP_DIR:-/var/backups/certd}"
+    echo -e "${GREEN}║${NC}"
+    echo -e "${GREEN}║${NC}  ${RED}⚠ 请立即登录并修改默认密码！${NC}"
+    echo -e "${GREEN}║${NC}"
+    echo -e "${GREEN}╚══════════════════════════════════════════════════════════╝${NC}"
+    echo ""
+    echo "常用命令:"
+    echo "  查看日志:    cd $SCRIPT_DIR && docker compose logs -f"
+    echo "  重启服务:    cd $SCRIPT_DIR && docker compose restart"
+    echo "  停止服务:    cd $SCRIPT_DIR && docker compose down"
+    echo "  备份数据:    cd $SCRIPT_DIR && bash backup.sh"
+    echo ""
+}
+
+# =============================================================
+#  主流程
+# =============================================================
+main() {
+    echo -e "${CYAN}"
+    echo "   ____          _      _"
+    echo "  / ___|___ _ __| |_ __| |"
+    echo " | |   / _ \\ '__| __/ _\` |"
+    echo " | |__|  __/ |  | || (_| |"
+    echo "  \\____\\___|_|   \\__\\__,_|  Deploy Script"
+    echo -e "${NC}"
+    echo ""
+
+    check_root
+    load_base_env "$BASE_DIR"
+
+    # Step 1: 系统初始化
+    init_system
+
+    # Step 2: 安装 Docker
+    install_docker
+
+    # Step 3: 安装 Nginx
+    install_nginx
+
+    # Step 4: 初始化配置
+    init_env
+
+    # Step 5: 配置 Docker 镜像加速
+    configure_docker_mirrors
+
+    # Step 6: 创建数据目录
+    create_dirs
+
+    # Step 7: 配置防火墙
+    setup_firewall_base
+
+    # Step 8: 配置 SSL 证书
+    setup_ssl_cert "${CERTD_DOMAIN}" "${CERTBOT_EMAIL}" "certd"
+
+    # Step 9: 部署 Nginx 反向代理
+    deploy_nginx_conf "$SCRIPT_DIR/nginx/certd.conf" "${CERTD_DOMAIN}" "certd"
+
+    # Step 10: 启动服务
+    start_services
+
+    # 显示部署信息
+    show_info
+    log "===== Certd 部署完成 ====="
+}
+
+main "$@"
--- a/certd/docker-compose.yml
+++ b/certd/docker-compose.yml
@@ -0,0 +1,29 @@
+services:
+  certd:
+    image: ${CERTD_IMAGE:-registry.cn-shenzhen.aliyuncs.com/handsfree/certd:latest}
+    container_name: certd
+    restart: unless-stopped
+    environment:
+      - TZ=Asia/Shanghai
+      - certd_system_resetAdminPasswd=${RESET_ADMIN_PASSWD:-false}
+      - certd_koa_hostname=0.0.0.0
+    volumes:
+      # ⚠ 冒号后面的 /app/data 切记不要修改，只改冒号前面的宿主机路径
+      - ${CERTD_DATA_DIR:-/data/certd}:/app/data
+      - /etc/localtime:/etc/localtime:ro
+    ports:
+      - "127.0.0.1:7001:7001"
+    dns:
+      - 223.5.5.5
+      - 8.8.8.8
+    healthcheck:
+      test: ["CMD", "wget", "--spider", "-q", "http://127.0.0.1:7001"]
+      interval: 30s
+      timeout: 5s
+      retries: 3
+      start_period: 15s
+    logging:
+      driver: json-file
+      options:
+        max-size: "10m"
+        max-file: "3"
--- a/certd/nginx/certd.conf
+++ b/certd/nginx/certd.conf
@@ -0,0 +1,55 @@
+server {
+    listen 80;
+    listen [::]:80;
+    server_name __DOMAIN__;
+
+    location /.well-known/acme-challenge/ {
+        root /var/www/certbot;
+    }
+
+    location / {
+        return 301 https://$host$request_uri;
+    }
+}
+
+server {
+    listen 443 ssl http2;
+    listen [::]:443 ssl http2;
+    server_name __DOMAIN__;
+
+    # SSL 证书
+    ssl_certificate     /etc/letsencrypt/live/__DOMAIN__/fullchain.pem;
+    ssl_certificate_key /etc/letsencrypt/live/__DOMAIN__/privkey.pem;
+
+    # SSL 参数
+    ssl_protocols TLSv1.2 TLSv1.3;
+    ssl_ciphers HIGH:!aNULL:!MD5;
+    ssl_prefer_server_ciphers on;
+    ssl_session_cache shared:SSL:10m;
+    ssl_session_timeout 10m;
+
+    # 安全头
+    add_header X-Frame-Options "SAMEORIGIN" always;
+    add_header X-Content-Type-Options "nosniff" always;
+    add_header X-XSS-Protection "1; mode=block" always;
+    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
+
+    # 反向代理到 Certd
+    location / {
+        proxy_pass http://127.0.0.1:7001;
+        proxy_set_header Host $host;
+        proxy_set_header X-Real-IP $remote_addr;
+        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
+        proxy_set_header X-Forwarded-Proto $scheme;
+
+        # WebSocket 支持
+        proxy_http_version 1.1;
+        proxy_set_header Upgrade $http_upgrade;
+        proxy_set_header Connection "upgrade";
+
+        # 超时设置
+        proxy_connect_timeout 60s;
+        proxy_send_timeout 60s;
+        proxy_read_timeout 60s;
+    }
+}