运行Kestrel Web服务器的Docker容器中证书权限被拒绝问题

问题场景 #

我在Docker容器中运行Asp.Net Core应用（暴露HTTP/HTTPS端口），尝试使用Let's Encrypt证书，操作流程如下：

1. 生成Let's Encrypt证书

mkdir -p /home/username/domain.de/letsencrypt
cd /home/username/domain.de/letsencrypt
docker run --rm -it \
-v $PWD/log/:/var/log/letsencrypt/ \
-v $PWD/etc/:/etc/letsencrypt/ \
-p 80:80 \
certbot/certbot certonly --standalone -d domain.de -d www.domain.de

2. 配置Kestrel证书路径（appsettings.json）

"Kestrel": {
  "Certificates": {
    "Default": {
      "Path": "etc/letsencrypt/live/domain.de/fullchain.pem",
      "KeyPath": "etc/letsencrypt/live/domain.de/privkey.pem"
    }
  }
}

3. 启动应用容器

docker run -p 80:80 \
-p 443:443 \
-e ASPNETCORE_HTTP_PORTS=80 \
-e ASPNETCORE_HTTPS_PORTS=443 \
-v /home/username/domain.de/letsencrypt/etc:/etc/letsencrypt \
dockerhubaccount/domain.de

遇到的错误

fail: Microsoft.Extensions.Hosting.Internal.Host[11]
Hosting failed to start
System.UnauthorizedAccessException: Access to the path '/etc/letsencrypt/live/domain.de/fullchain.pem' is denied.
---> System.IO.IOException: Permission denied

已确认路径正确，但容器内的.NET进程无权限读取证书文件，以下是几种可行的解决方法：

方案1：调整宿主机证书目录权限（推荐） #

Let's Encrypt生成的证书默认仅允许root用户访问，需修改宿主机上挂载目录的权限，让容器内的运行用户能读取：

1. 确认容器内运行用户的UID
   官方Asp.Net Core镜像默认使用非root用户（通常UID为1000），可通过以下命令查询：

   docker run --rm dockerhubaccount/domain.de id -u
   

2. 修改宿主机证书目录权限
   选择以下一种方式：

   • 方法A：开放其他用户读取权限（简单）

     # 给live和archive目录添加读权限
     chmod -R o+r /home/username/domain.de/letsencrypt/etc/letsencrypt/live/
     chmod -R o+r /home/username/domain.de/letsencrypt/etc/letsencrypt/archive/
     # 开放目录的执行权限（允许进入目录）
     chmod o+x /home/username/domain.de/letsencrypt/etc/letsencrypt/
     chmod o+x /home/username/domain.de/letsencrypt/etc/letsencrypt/live/
     

   • 方法B：修改目录所属用户（更安全）
     假设容器用户UID为1000：

     chown -R 1000:1000 /home/username/domain.de/letsencrypt/etc/letsencrypt/
     

方案2：以root用户运行容器（不推荐） #

虽然能快速解决问题，但会降低容器安全性，仅用于临时测试：

docker run -p 80:80 \
-p 443:443 \
-e ASPNETCORE_HTTP_PORTS=80 \
-e ASPNETCORE_HTTPS_PORTS=443 \
-v /home/username/domain.de/letsencrypt/etc:/etc/letsencrypt \
--user root \
dockerhubaccount/domain.de

方案3：容器内复制并调整证书权限（安全且可控） #

在Dockerfile中添加步骤，将挂载的证书复制到容器内的专属目录，并修改权限为容器运行用户所有：

FROM mcr.microsoft.com/dotnet/aspnet:8.0

# 创建容器内证书目录
RUN mkdir -p /app/certs

# 复制证书并设置权限（假设容器运行用户为app）
COPY --chown=app:app /etc/letsencrypt/live/domain.de/fullchain.pem /app/certs/
COPY --chown=app:app /etc/letsencrypt/live/domain.de/privkey.pem /app/certs/

同时修改appsettings.json中的证书路径：

"Kestrel": {
  "Certificates": {
    "Default": {
      "Path": "/app/certs/fullchain.pem",
      "KeyPath": "/app/certs/privkey.pem"
    }
  }
}

方案4：使用Docker Secrets（适合Swarm集群） #

如果使用Docker Swarm集群，可将证书存储为Secrets，容器能安全读取：

1. 创建Secrets

docker secret create domain_cert /home/username/domain.de/letsencrypt/etc/letsencrypt/live/domain.de/fullchain.pem
docker secret create domain_key /home/username/domain.de/letsencrypt/etc/letsencrypt/live/domain.de/privkey.pem

2. 在docker-compose.yml中引用

version: '3.8'
services:
  app:
    image: dockerhubaccount/domain.de
    ports:
      - "80:80"
      - "443:443"
    environment:
      - ASPNETCORE_HTTP_PORTS=80
      - ASPNETCORE_HTTPS_PORTS=443
    secrets:
      - domain_cert
      - domain_key
    command: ["dotnet", "YourApp.dll", 
              "--Kestrel:Certificates:Default:Path=/run/secrets/domain_cert", 
              "--Kestrel:Certificates:Default:KeyPath=/run/secrets/domain_key"]

secrets:
  domain_cert:
    external: true
  domain_key:
    external: true

内容的提问来源于stack exchange，提问作者Tigerware