Letsencrypt + nginx + 自动更新 + 基础设施即代码？

Question

我们的基础设施由 Ansible 管理（包括 nginx 站点配置 - 它们是使用模板生成的）。

现在我们每 3 个月通过certbot 命令自动生成letsencrypt 证书，但是我们有大约1 分钟的停机时间（我们必须停止nginx，才能将certbot 绑定到80）。

如何进行自动更新的 Letsencrypt + nginx 集成？那么通配符呢？

我找到了一些解决方案，例如 How to setup Let's Encrypt for Nginx on Ubuntu 18.04 (including IPv6, HTTP/2 and A+ SLL rating)，但他们使用 python-certbot-nginx 修改站点配置（并且它们将在下一次 Ansible 运行时被 Ansible 替换，因此 HTTPS 将被破坏）。

Answer 1

最好的选择是使用 DNS certbot 插件。

1. 您不需要绑定端口。
2. 在创建第一个 letsencript 证书之前，您无需为首次启动的 nginx 生成自签名证书。
3. 通配符。