自簽名證書怎么創建docker鏡像倉庫

自簽名證書怎么創建docker鏡像倉庫

概述

在Docker生態系統中，鏡像倉庫（Registry）是存儲和管理Docker鏡像的核心組件。默認情況下，Docker使用公共的Docker Hub作為鏡像倉庫，但在某些場景下，企業或開發者可能需要搭建私有的Docker鏡像倉庫。為了確保私有倉庫的安全性，通常會使用TLS加密通信。本文將詳細介紹如何使用自簽名證書創建并配置一個安全的Docker鏡像倉庫。

準備工作

在開始之前，確保你已經安裝了以下工具：

• Docker
• OpenSSL（用于生成自簽名證書）

生成自簽名證書

1. 創建證書目錄

首先，創建一個目錄來存放證書文件：

mkdir -p /etc/docker/certs.d/myregistry.example.com
cd /etc/docker/certs.d/myregistry.example.com

2. 生成私鑰和證書

使用OpenSSL生成自簽名證書：

openssl req -newkey rsa:4096 -nodes -sha256 -keyout domain.key -x509 -days 365 -out domain.crt

在生成證書的過程中，系統會提示你輸入一些信息，如國家、組織名稱等。其中最重要的是Common Name (e.g. server FQDN or YOUR name)，這里需要填寫你的私有倉庫的域名（例如myregistry.example.com）。

3. 配置Docker信任自簽名證書

為了讓Docker客戶端信任這個自簽名證書，需要將證書復制到Docker的證書目錄中：

sudo cp domain.crt /usr/local/share/ca-certificates/myregistry.example.com.crt
sudo update-ca-certificates

配置Docker鏡像倉庫

1. 創建配置文件

創建一個配置文件config.yml，用于配置Docker鏡像倉庫：

version: 0.1
log:
  fields:
    service: registry
storage:
  filesystem:
    rootdirectory: /var/lib/registry
http:
  addr: :5000
  tls:
    certificate: /etc/docker/certs.d/myregistry.example.com/domain.crt
    key: /etc/docker/certs.d/myregistry.example.com/domain.key

2. 啟動Docker鏡像倉庫

使用Docker運行鏡像倉庫：

docker run -d -p 5000:5000 --name registry \
  -v /etc/docker/certs.d/myregistry.example.com:/certs \
  -v /var/lib/registry:/var/lib/registry \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  registry:2

3. 驗證倉庫運行狀態

使用docker ps命令查看倉庫是否正常運行：

docker ps

如果看到registry容器正在運行，說明倉庫已經成功啟動。

配置Docker客戶端

1. 修改Docker Daemon配置

為了讓Docker客戶端能夠訪問私有倉庫，需要修改Docker Daemon的配置文件/etc/docker/daemon.json，添加私有倉庫的地址：

{
  "insecure-registries" : ["myregistry.example.com:5000"]
}

2. 重啟Docker服務

修改配置后，重啟Docker服務以使更改生效：

sudo systemctl restart docker

使用私有倉庫

1. 登錄私有倉庫

使用docker login命令登錄私有倉庫：

docker login myregistry.example.com:5000

2. 推送鏡像到私有倉庫

首先，為本地鏡像打上私有倉庫的標簽：

docker tag myimage myregistry.example.com:5000/myimage

然后，將鏡像推送到私有倉庫：

docker push myregistry.example.com:5000/myimage

3. 從私有倉庫拉取鏡像

使用docker pull命令從私有倉庫拉取鏡像：

docker pull myregistry.example.com:5000/myimage

總結

通過以上步驟，你已經成功創建了一個使用自簽名證書的Docker鏡像倉庫，并配置了Docker客戶端以訪問該倉庫。這種方法適用于需要搭建私有鏡像倉庫的場景，尤其是在企業內部網絡中。通過使用TLS加密通信，確保了鏡像傳輸的安全性。

注意事項

1. 證書有效期：自簽名證書通常有一定的有效期（如365天），到期后需要重新生成并配置。
2. 域名解析：確保私有倉庫的域名能夠正確解析到倉庫服務器的IP地址。
3. 安全性：雖然自簽名證書可以提供基本的加密，但在生產環境中，建議使用受信任的CA簽發的證書。

通過本文的指導，你應該能夠輕松搭建并配置一個安全的Docker鏡像倉庫，滿足你的私有鏡像管理需求。