Docker Certbot证书Nginx无权限读取的自动适配解决方案求助

我之前也碰到过一模一样的情况——手动改权限管用，但续期后就被打回原形，折腾了好一阵，总结了几个可靠的自动解决方案，既能让Nginx工作进程顺利读取证书，又不影响自动续期功能：

方案一：使用Certbot的Deploy Hook自动调整权限（推荐） #

Certbot自带了--deploy-hook机制，会在证书成功续期后自动执行指定命令/脚本，完美解决续期后权限被重置的问题。

步骤1：创建权限调整脚本（更清晰易维护） #

在你的./data/certbot/conf目录下创建钩子脚本目录和脚本文件：

mkdir -p ./data/certbot/conf/renewal-hooks/deploy
touch ./data/certbot/conf/renewal-hooks/deploy/fix-cert-perms.sh
chmod +x ./data/certbot/conf/renewal-hooks/deploy/fix-cert-perms.sh

编辑脚本内容：

#!/bin/sh
# 给证书归档目录和live目录添加其他用户的读/执行权限（让Nginx能遍历目录）
chmod -R o+rx /etc/letsencrypt/archive/
chmod -R o+rx /etc/letsencrypt/live/

# 给密钥文件添加其他用户的读权限（Nginx需要读取密钥）
find /etc/letsencrypt/archive/ -name "privkey*.pem" -exec chmod o+r {} \;

步骤2：修改Docker Compose的Certbot服务 #

不需要额外修改entrypoint，Certbot会自动扫描renewal-hooks/deploy目录下的可执行脚本并执行。你的Certbot服务配置可以保持原样：

certbot:
  container_name: certbot
  image: certbot/certbot
  volumes:
    - ./data/certbot/conf:/etc/letsencrypt
    - ./data/certbot/www:/var/www/certbot
  depends_on:
    - nginx
  entrypoint: "/bin/sh -c \"trap exit TERM; while :; do certbot renew; sleep 12h & wait $${!}; done;\""

补充：初始获取证书时同步设置权限 #

第一次获取证书时，也需要执行一次权限调整，直接在初始命令后加--deploy-hook参数即可：

docker run -it --rm \
  -v /FQPN/certbot/conf:/etc/letsencrypt \
  -v /FQPN/certbot/www:/var/www/certbot \
  certbot/certbot certonly \
  -m EMAILADDRESS \
  --webroot \
  --agree-tos \
  --webroot-path=/var/www/certbot \
  -d DOMAIN \
  --deploy-hook "chmod -R o+rx /etc/letsencrypt/archive/ && chmod -R o+rx /etc/letsencrypt/live/ && find /etc/letsencrypt/archive/ -name 'privkey*.pem' -exec chmod o+r {} \;"

方案二：使用共享用户组（更安全） #

如果不想给所有用户读权限，可以让Certbot和Nginx共享同一个用户组，只给该组授权：

步骤1：确认Nginx容器的用户组GID #

先查看Nginx容器中nginx用户的组ID：

docker exec nginx id -g nginx

通常默认是101。

步骤2：修改Deploy Hook脚本 #

把之前的脚本内容替换为：

#!/bin/sh
# 将证书目录的属组改为Nginx的用户组（这里假设GID是101）
chgrp -R 101 /etc/letsencrypt/archive/ /etc/letsencrypt/live/

# 给组用户添加读/执行权限
chmod -R g+rx /etc/letsencrypt/archive/ /etc/letsencrypt/live/

# 给密钥文件添加组读权限
find /etc/letsencrypt/archive/ -name "privkey*.pem" -exec chmod g+r {} \;

后续步骤和方案一一致，Certbot续期后会自动执行这个脚本，确保权限正确。

方案三：让Nginx工作进程以root运行（不推荐，仅测试环境用） #

如果是测试环境图省事，可以直接让Nginx的工作进程以root运行，这样就能直接读取root权限的证书。修改Docker Compose的Nginx服务：

nginx:
  container_name: nginx
  image: nginx:latest
  user: root # 添加这一行
  ports:
    - 80:80
    - 443:443
  volumes:
    # 原有的volumes保持不变
    - ./data/nginx/conf:/etc/nginx/conf.d
    - ./data/nginx/tls:/etc/pki/tls
    - ./data/certbot/conf:/etc/letsencrypt
    - ./data/certbot/www:/var/www/certbot
  command: "/bin/sh -c 'while :; do sleep 24h & wait $${!}; nginx -s reload; done & nginx -g \"daemon off;\"'"

注意：生产环境强烈不推荐这种方式，非特权用户运行Nginx是为了降低安全风险。

验证方案是否生效 #

可以手动触发一次证书续期测试：

docker exec certbot certbot renew --dry-run

执行完成后，检查证书目录的权限：

docker exec certbot ls -l /etc/letsencrypt/archive/[你的域名]/

如果权限已经调整为预期的状态，再查看Nginx日志有没有权限相关的错误：

docker logs nginx

内容的提问来源于stack exchange，提问作者Mogget