为何指定--sslcert和--sslkey参数后，Portainer仍忽略自定义证书？

问题根因 #

Portainer CE 2.9+版本有内置的证书持久化逻辑：首次启动时如果没有检测到自定义证书，会自动生成内置的localhost自签名证书，存储到持久化目录/data/ssl下。后续启动时Portainer会优先读取该目录下的已有证书，直接忽略--sslcert、--sslkey参数指定的自定义证书，这就是你配置不生效的核心原因。
你提到的--ssl参数确实已废弃，仅用于控制9000端口是否强制跳转HTTPS，和9443端口的证书加载逻辑无关，无需额外添加。

解决步骤 #

1. 停止并删除现有Portainer容器

docker stop portainer && docker rm portainer

2. 清理持久化目录中缓存的内置证书，注意不要删除/data目录下其他数据，避免丢失已有Portainer配置

sudo rm -rf /opt/docker/portainer/data/ssl/*

3. （可选优化）调整Ansible playbook中command参数的写法，拆分为列表形式避免shell解析参数出错：

- name: Run Portainer
    docker_container:
      image: portainer/portainer-ce
      name: portainer
      hostname: portainer
      state: started
      restart: yes
      restart_policy: unless-stopped
      ports:
      - 8000:8000
      - 9000:9000
      - 9443:9443
      volumes:
      - /opt/docker/portainer/certs:/certs
      - /opt/docker/portainer/data:/data
      - /var/run/docker.sock:/var/run/docker.sock
      command:
        - --sslcert
        - /certs/uno.home.crt
        - --sslkey
        - /certs/uno.home.key

4. 重新执行Ansible playbook启动Portainer，启动后清理浏览器SSL缓存再访问9443端口，即可看到自定义证书生效。

内容的提问来源于stack exchange，提问作者Dave H.