如何阻止Docker中Icinga应用启动时生成自签名证书？

证书自动生成的来源 #

• 容器启动/初始化脚本：该项目的Docker镜像大概率在启动脚本（如entrypoint.sh、start.sh）中包含了证书检查逻辑——如果server.crt不存在，就通过openssl req命令自动生成自签名证书，这是Docker镜像常见的初始化行为。
• Icinga或Apache内置机制：部分版本的Icinga或Apache配置中，可能内置了自动生成SSL证书的模块/脚本，用于默认加密通信场景。

阻止自动生成的方法 #

1. 禁用启动脚本中的证书生成逻辑 #

• 进入运行中的容器：docker exec -it <容器ID/名称> /bin/bash
• 定位启动脚本（通常在镜像的/usr/local/bin/或项目根目录下），搜索包含openssl req -x509的代码块，将其注释或删除。
• 若证书生成逻辑写在Dockerfile的RUN命令中，需要修改Dockerfile并重新构建镜像，移除对应的证书生成命令。

2. 宿主机挂载证书文件 #

• 停止当前容器，将CA颁发的server.crt和server.key放到宿主机指定目录（如/opt/icinga-ssl/）。
• 启动容器时通过挂载参数将宿主机证书映射到容器内证书路径：

  docker run -v /opt/icinga-ssl/server.crt:/容器内证书路径/server.crt \
             -v /opt/icinga-ssl/server.key:/容器内证书路径/server.key \
             <镜像名称>
  

  这种方式下容器会直接使用宿主机的证书文件，不会触发内部的自动生成逻辑。

3. 检查并修改服务配置 #

• 查看Apache的SSL站点配置（如/etc/apache2/sites-available/icinga.conf），确认是否存在自动生成证书的配置项，如有则禁用。
• 检查Icinga的TLS配置文件（如/etc/icinga2/features-available/tls.conf），关闭自动生成证书的相关设置。

4. 设置证书文件为只读权限（兜底方案） #

• 在容器内执行命令，将证书文件设为只读：

  chmod 444 /容器内证书路径/server.crt /容器内证书路径/server.key
  

  即使脚本尝试重新生成证书，也会因权限不足而失败。

内容的提问来源于stack exchange，提问作者raiya