关于Traefik使用企业CA证书自动签署域名自动生成证书的技术问询

当然可以！Traefik提供了几种实用方式来集成企业CA实现自动证书签发，我会根据你的企业CA是否支持ACME协议分两种常见方案来讲解：

方案一：企业CA支持ACME协议（推荐） #

如果你的企业CA已经支持ACME（比如用Step CA、HashiCorp Vault搭建的ACME服务，或者其他兼容ACME的企业CA系统），这是最原生顺畅的方式，Traefik的ACME resolver可以直接对接。

配置步骤 #

1. 配置ACME Resolver：在Traefik的静态配置文件（比如traefik.yml）中定义指向企业CA的ACME端点：

entryPoints:
  web:
    address: ":80"
  websecure:
    address: ":443"

certificatesResolvers:
  enterprise-ca-resolver:
    acme:
      # 替换为你的企业CA的ACME目录URL
      server: "https://your-enterprise-ca-acme.example.com/directory"
      # 企业CA要求的联系邮箱（部分CA需要）
      email: "admin@yourcompany.com"
      # 存储证书和ACME账户信息的文件，权限需设为600
      storage: "/etc/traefik/acme.json"
      # 选择域名验证方式，内部域名推荐DNS-01，公网可访问域名可用HTTP-01
      httpChallenge:
        entryPoint: web
      # 若用DNS-01验证，以内部DNS服务器为例：
      # dnsChallenge:
      #   provider: "custom" # 或对应你的DNS提供商（比如bind、route53等）
      #   resolvers: ["192.168.1.100:53"] # 企业内部DNS服务器地址

# 导入企业CA根证书，确保Traefik信任该CA
tls:
  options:
    default:
      ca:
        certFile: "/etc/traefik/enterprise-ca-root.crt"

2. 关联到路由：在动态配置（比如Docker标签或File Provider）中，给需要自动签发证书的路由指定这个resolver：

# 示例File Provider动态配置（dynamic.yml）
http:
  routers:
    internal-app-router:
      rule: "Host(`internal-app.yourcompany.com`)"
      entryPoints: ["websecure"]
      tls:
        certResolver: "enterprise-ca-resolver"

方案二：企业CA不支持ACME协议 #

如果你的企业CA还没支持ACME，可以结合外部脚本+Traefik的File Provider实现自动签发与加载：

配置步骤 #

1. 编写自动签发脚本：用脚本调用企业CA的API或命令行工具（比如openssl），定期为需要的域名签发证书，并将证书和密钥放到Traefik可访问的目录（比如/etc/traefik/certs/）。

2. 配置Traefik加载证书：在静态配置中开启File Provider的自动监听，让Traefik在证书更新时自动重载：

# traefik.yml 静态配置
providers:
  file:
    directory: "/etc/traefik/dynamic"
    watch: true # 自动监控文件变化并重载配置

# dynamic/certificates.yml 动态配置
tls:
  certificates:
    - certFile: "/etc/traefik/certs/internal-app.yourcompany.com.crt"
      keyFile: "/etc/traefik/certs/internal-app.yourcompany.com.key"
    # 可以添加多个域名的证书

关键注意事项 #

• 无论哪种方案，都要确保企业CA的根证书已部署到所有客户端设备（员工电脑、服务器等），否则客户端会提示证书不受信任。
• 使用ACME方案时，要保证Traefik能访问到企业CA的ACME服务器，且CA已配置允许Traefik的IP进行域名验证和证书签发。
• acme.json文件必须设置正确的权限（chmod 600 acme.json），否则Traefik无法读写。

内容的提问来源于stack exchange，提问作者Johannes Gesenhues