nginx - 使用 Let's encrypt 获得的 SSL 证书的访问权限

Question

我得到了SSL certificates与 Let's encrypt并成立HTTPS communication与 docker-compose's nginx container .
我能够连接成功，但我担心文件夹的访问权限。
环境是amazon linux 2 , Let's encrypt 得到的SSL证书存放在/etc/letsencrypt/live/www.example.com/ .
这里，the live folder 的访问权限如下面所述。

drwx------ 3 root root 47 Nov 9 02:12 live

所以，似乎 ec2-user用户 无法访问 它。
为了使用 SSL 证书，我使用 root privileges 将 pem 文件复制到相应的文件夹中。 ，并且能够成功连接，但这是正确的方法吗？
这次我把pem文件复制到 /home/ec2-user/ssl如下所示。

drwxrwxr-x 2 ec2-user ec2-user    93 Nov  9 05:32 ssl

[ec2-user@ip-***-***-***-*** ssl]$ ls -la
total 24
drwxrwxr-x 2 ec2-user ec2-user   93 Nov  9 05:32 .
drwx------ 7 ec2-user ec2-user  163 Nov  9 05:31 ..
-rw-r--r-- 1 root     root     1854 Nov  9 03:14 cert.pem
-rw-r--r-- 1 root     root     3749 Nov  9 03:14 chain.pem
-rw-r--r-- 1 root     root     5603 Nov  9 05:32 fullchain.pem
-rw------- 1 root     root     1708 Nov  9 03:14 privkey.pem
-rw-r--r-- 1 ec2-user ec2-user  692 Nov  9 03:14 README

顺便说一句，当我访问文件 /etc/letsencrypt/live/www.example.com/我从中复制了文件，并做了 docker-compose up -d ，我收到以下错误。
可能是 的错误访问权限 .

[emerg] 1#1: cannot load certificate "/etc/letsencrypt/live/www.example.com/fullchain.pem": BIO_new_file() failed (SSL: error:02001002:system library:fopen:No such file or directory:fopen('/etc/letsencrypt/live/www.example.com/fullchain.pem','r') error:2006D080:BIO routines:BIO_new_file:no such file)

自述文件说 不要动 .

docker-compose.yml -> nginx 卷

volumes:
...
- /etc/letsencrypt/live/www.example.com:/etc/nginx/certs #error
# - /home/ec2-user/ssl:/etc/nginx/certs #ok
...

默认.conf

server {
server_name www.example.com;
listen 443 ssl;
ssl_certificate /etc/nginx/certs/fullchain.pem;
ssl_certificate_key /etc/nginx/certs/privkey.pem;
...
}

Answer 1

nginx 必须以 root 身份启动，以便它可以读取 root 用户的证书。然后 nginx 将代表 www-data 用户启动工作程序。
它也很相似 Apache httpd
How does Apache access SSL certs created by root user?
说到证书的放置位置:没有明确的答案https://serverfault.com/questions/259302/best-location-to-keep-ssl-certificates-and-private-keys-on-ubuntu-servers