Docker私有倉庫Registry怎么搭建驗證

Docker私有倉庫Registry怎么搭建驗證

目錄

1. 引言
2. Docker Registry簡介
3. 搭建私有Docker Registry
   • 3.1 準備工作
   • 3.2 安裝Docker
   • 3.3 啟動Docker Registry
   • 3.4 配置TLS加密
   • 3.5 配置用戶認證
4. 驗證私有Docker Registry
   • 4.1 推送鏡像到私有倉庫
   • 4.2 從私有倉庫拉取鏡像
   • 4.3 查看私有倉庫中的鏡像
5. 常見問題及解決方案
6. 總結

引言

在現代軟件開發中，Docker已經成為容器化技術的標準。Docker鏡像的存儲和分發通常依賴于Docker Registry。雖然Docker Hub是一個公共的鏡像倉庫，但在企業環境中，出于安全和隱私的考慮，通常需要搭建私有的Docker Registry。本文將詳細介紹如何搭建一個帶有驗證功能的私有Docker Registry，并驗證其可用性。

Docker Registry簡介

Docker Registry是一個存儲和分發Docker鏡像的服務。它允許用戶上傳、下載和管理Docker鏡像。Docker Registry可以是公共的（如Docker Hub）或私有的。私有Registry通常用于企業內部，以確保鏡像的安全性和隱私性。

搭建私有Docker Registry

3.1 準備工作

在開始搭建私有Docker Registry之前，需要準備以下內容：

• 一臺運行Linux的服務器（推薦使用Ubuntu或CentOS）
• 確保服務器上已經安裝了Docker
• 確保服務器上已經安裝了Docker Compose（可選，但推薦使用）

3.2 安裝Docker

如果服務器上尚未安裝Docker，可以按照以下步驟進行安裝：

# 更新包管理器
sudo apt-get update

# 安裝必要的依賴包
sudo apt-get install apt-transport-https ca-certificates curl software-properties-common

# 添加Docker官方GPG密鑰
curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -

# 添加Docker倉庫
sudo add-apt-repository "deb [arch=amd64] https://download.docker.com/linux/ubuntu $(lsb_release -cs) stable"

# 更新包管理器
sudo apt-get update

# 安裝Docker
sudo apt-get install docker-ce

3.3 啟動Docker Registry

在安裝完Docker后，可以通過以下命令啟動一個簡單的Docker Registry：

docker run -d -p 5000:5000 --restart=always --name registry registry:2

這個命令會在后臺啟動一個Docker Registry容器，并將其映射到主機的5000端口。

3.4 配置TLS加密

為了確保數據傳輸的安全性，建議為Docker Registry配置TLS加密。以下是配置TLS的步驟：

1. 生成自簽名證書：

mkdir -p certs
openssl req -newkey rsa:4096 -nodes -sha256 -keyout certs/domain.key -x509 -days 365 -out certs/domain.crt

1. 啟動帶有TLS的Docker Registry：

docker run -d -p 5000:5000 --restart=always --name registry \
  -v $(pwd)/certs:/certs \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  registry:2

3.5 配置用戶認證

為了確保只有授權用戶可以訪問私有Registry，可以配置用戶認證。以下是配置用戶認證的步驟：

1. 創建用戶密碼文件：

mkdir -p auth
docker run --entrypoint htpasswd registry:2 -Bbn username password > auth/htpasswd

1. 啟動帶有用戶認證的Docker Registry：

docker run -d -p 5000:5000 --restart=always --name registry \
  -v $(pwd)/certs:/certs \
  -v $(pwd)/auth:/auth \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  -e REGISTRY_AUTH=htpasswd \
  -e REGISTRY_AUTH_HTPASSWD_REALM="Registry Realm" \
  -e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd \
  registry:2

驗證私有Docker Registry

4.1 推送鏡像到私有倉庫

1. 首先，從Docker Hub拉取一個測試鏡像：

docker pull hello-world

1. 為鏡像打上私有倉庫的標簽：

docker tag hello-world localhost:5000/my-hello-world

1. 登錄到私有倉庫：

docker login localhost:5000

1. 推送鏡像到私有倉庫：

docker push localhost:5000/my-hello-world

4.2 從私有倉庫拉取鏡像

1. 從私有倉庫拉取鏡像：

docker pull localhost:5000/my-hello-world

1. 運行鏡像以驗證其可用性：

docker run localhost:5000/my-hello-world

4.3 查看私有倉庫中的鏡像

1. 使用Docker Registry API查看私有倉庫中的鏡像：

curl -X GET https://localhost:5000/v2/_catalog --user username:password --cacert certs/domain.crt

1. 查看特定鏡像的標簽：

curl -X GET https://localhost:5000/v2/my-hello-world/tags/list --user username:password --cacert certs/domain.crt

常見問題及解決方案

5.1 無法推送鏡像到私有倉庫

問題描述：在推送鏡像到私有倉庫時，出現“http: server gave HTTP response to HTTPS client”錯誤。

解決方案：需要在Docker客戶端配置中信任私有倉庫的證書。編輯/etc/docker/daemon.json文件，添加以下內容：

{
  "insecure-registries" : ["localhost:5000"]
}

然后重啟Docker服務：

sudo systemctl restart docker

5.2 無法通過TLS訪問私有倉庫

問題描述：在訪問私有倉庫時，出現“x509: certificate signed by unknown authority”錯誤。

解決方案：需要將私有倉庫的證書添加到系統的受信任證書列表中。將certs/domain.crt文件復制到/usr/local/share/ca-certificates/目錄下，并更新證書：

sudo cp certs/domain.crt /usr/local/share/ca-certificates/
sudo update-ca-certificates

總結

通過本文的介紹，您已經學會了如何搭建一個帶有驗證功能的私有Docker Registry，并驗證其可用性。私有Docker Registry不僅可以提高鏡像的安全性，還可以在企業內部實現高效的鏡像管理。希望本文對您有所幫助，祝您在Docker的世界中探索更多可能性！