隨著容器技術的普及，Docker已經成為開發和運維人員不可或缺的工具。Docker鏡像倉庫是存儲和管理Docker鏡像的核心組件。雖然Docker官方提供了公共的鏡像倉庫（Docker Hub），但在企業環境中，出于安全性和性能的考慮，通常需要搭建私有的Docker鏡像倉庫。
本文將詳細介紹如何搭建Docker私有鏡像倉庫，并配置認證機制，以確保鏡像倉庫的安全性。
Docker私有鏡像倉庫是一個用于存儲和管理Docker鏡像的私有服務器。與Docker Hub不同，私有鏡像倉庫只對特定的用戶或組織開放，能夠更好地滿足企業的安全需求。
Docker官方提供了一個開源的鏡像倉庫項目——Docker Registry，我們可以基于此項目搭建自己的私有鏡像倉庫。Docker Registry支持多種存儲后端（如本地文件系統、S3、Azure Blob Storage等），并且可以通過配置TLS和基本認證來增強安全性。
在開始搭建私有鏡像倉庫之前，需要準備以下內容：
如果服務器上尚未安裝Docker，可以按照以下步驟進行安裝：
# 更新系統包
sudo apt-get update
# 安裝必要的依賴包
sudo apt-get install -y apt-transport-https ca-certificates curl software-properties-common
# 添加Docker官方GPG密鑰
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -
# 添加Docker官方APT倉庫
sudo add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable"
# 更新APT包索引
sudo apt-get update
# 安裝Docker CE
sudo apt-get install -y docker-ce
安裝完成后，可以通過以下命令驗證Docker是否安裝成功：
docker --version
Docker Registry的配置主要通過一個YAML文件來完成。我們可以創建一個名為config.yml的配置文件，內容如下：
version: 0.1
log:
fields:
service: registry
storage:
filesystem:
rootdirectory: /var/lib/registry
http:
addr: :5000
headers:
X-Content-Type-Options: [nosniff]
health:
storagedriver:
enabled: true
interval: 10s
threshold: 3
在這個配置文件中，我們指定了鏡像倉庫的存儲路徑為/var/lib/registry，并且將HTTP服務監聽在5000端口。
配置完成后，可以通過以下命令啟動私有鏡像倉庫：
docker run -d -p 5000:5000 --restart=always --name registry -v /path/to/config.yml:/etc/docker/registry/config.yml -v /var/lib/registry:/var/lib/registry registry:2
其中，/path/to/config.yml是配置文件的路徑，/var/lib/registry是鏡像倉庫的存儲路徑。
啟動后，可以通過以下命令查看私有鏡像倉庫是否正常運行：
docker logs registry
默認情況下，Docker客戶端會嘗試通過HTTPS訪問鏡像倉庫。如果私有鏡像倉庫沒有配置TLS，Docker客戶端會拒絕連接。為了允許Docker客戶端通過HTTP訪問私有鏡像倉庫，我們需要修改Docker的配置文件。
在Linux系統上，Docker的配置文件通常位于/etc/docker/daemon.json。我們可以編輯該文件，添加以下內容：
{
"insecure-registries" : ["myregistrydomain.com:5000"]
}
其中，myregistrydomain.com是私有鏡像倉庫的域名或IP地址。
修改完成后，重啟Docker服務：
sudo systemctl restart docker
配置完成后，可以通過以下命令將本地鏡像推送到私有鏡像倉庫：
# 標記本地鏡像
docker tag myimage myregistrydomain.com:5000/myimage
# 推送鏡像到私有鏡像倉庫
docker push myregistrydomain.com:5000/myimage
同樣，可以通過以下命令從私有鏡像倉庫拉取鏡像：
docker pull myregistrydomain.com:5000/myimage
為了確保私有鏡像倉庫的安全性，我們可以配置TLS和基本認證。
首先，我們需要生成一個自簽名的TLS證書?？梢酝ㄟ^以下命令生成證書：
# 創建證書目錄
mkdir -p certs
# 生成私鑰
openssl genrsa -out certs/domain.key 2048
# 生成證書簽名請求（CSR）
openssl req -new -key certs/domain.key -out certs/domain.csr
# 生成自簽名證書
openssl x509 -req -days 365 -in certs/domain.csr -signkey certs/domain.key -out certs/domain.crt
生成的證書和私鑰將保存在certs目錄下。
接下來，我們需要修改私有鏡像倉庫的配置文件，使其使用TLS。編輯config.yml文件，添加以下內容：
http:
addr: :5000
tls:
certificate: /certs/domain.crt
key: /certs/domain.key
然后，重新啟動私有鏡像倉庫，并掛載證書目錄：
docker run -d -p 5000:5000 --restart=always --name registry -v /path/to/config.yml:/etc/docker/registry/config.yml -v /var/lib/registry:/var/lib/registry -v /path/to/certs:/certs registry:2
在Docker客戶端上，我們需要將自簽名證書添加到系統的受信任證書列表中?？梢酝ㄟ^以下命令完成：
# 將證書復制到系統的受信任證書目錄
sudo cp /path/to/certs/domain.crt /usr/local/share/ca-certificates/myregistrydomain.crt
# 更新系統的受信任證書列表
sudo update-ca-certificates
然后，重啟Docker服務：
sudo systemctl restart docker
為了進一步增強安全性，我們可以為私有鏡像倉庫配置基本認證。首先，我們需要創建一個密碼文件：
# 創建密碼文件
mkdir -p auth
docker run --entrypoint htpasswd registry:2 -Bbn myuser mypassword > auth/htpasswd
然后，修改私有鏡像倉庫的配置文件，添加基本認證配置：
auth:
htpasswd:
realm: basic-realm
path: /auth/htpasswd
最后，重新啟動私有鏡像倉庫，并掛載密碼文件：
docker run -d -p 5000:5000 --restart=always --name registry -v /path/to/config.yml:/etc/docker/registry/config.yml -v /var/lib/registry:/var/lib/registry -v /path/to/certs:/certs -v /path/to/auth:/auth registry:2
配置完成后，Docker客戶端在訪問私有鏡像倉庫時需要提供用戶名和密碼。
為了簡化私有鏡像倉庫的管理，我們可以使用Docker Compose來定義和運行服務。創建一個名為docker-compose.yml的文件，內容如下：
version: '3'
services:
registry:
image: registry:2
ports:
- "5000:5000"
environment:
REGISTRY_HTTP_TLS_CERTIFICATE: /certs/domain.crt
REGISTRY_HTTP_TLS_KEY: /certs/domain.key
REGISTRY_AUTH_HTPASSWD_PATH: /auth/htpasswd
REGISTRY_AUTH_HTPASSWD_REALM: basic-realm
volumes:
- /var/lib/registry:/var/lib/registry
- /path/to/certs:/certs
- /path/to/auth:/auth
然后，通過以下命令啟動私有鏡像倉庫：
docker-compose up -d
如果私有鏡像倉庫無法訪問，可以檢查以下內容：
如果Docker客戶端無法推送或拉取鏡像，可以檢查以下內容：
insecure-registries配置正確如果基本認證失敗，可以檢查以下內容：
auth配置正確通過本文的介紹，我們詳細講解了如何搭建Docker私有鏡像倉庫，并配置TLS和基本認證來增強安全性。私有鏡像倉庫的搭建不僅能夠提高鏡像管理的效率，還能有效保護企業的核心資產。希望本文能夠幫助讀者順利搭建自己的Docker私有鏡像倉庫，并在實際應用中發揮其價值。
免責聲明：本站發布的內容（圖片、視頻和文字）以原創、轉載和分享為主，文章觀點不代表本網站立場，如果涉及侵權請聯系站長郵箱：is@yisu.com進行舉報，并提供相關證據，一經查實，將立刻刪除涉嫌侵權內容。
