使用证书验证存储库客户端

在 使用 HTTPS 运行 Docker中，您了解到，默认情况下，Docker 通过非联网的 Unix 套接字运行，并且必须启用 TLS 才能让 Docker 客户端和守护进程通过 HTTPS 安全地通信。 TLS 可确保注册表端点的真实性以及进出注册表的流量经过加密。

本文演示如何使用基于证书的客户端-服务器身份验证来确保 Docker 注册表服务器和 Docker 守护程序（注册表服务器的客户端）之间的流量经过加密和正确身份验证。

我们向您展示如何为注册表安装证书颁发机构 (CA) 根证书以及如何设置客户端 TLS 证书以进行验证。

了解配置

通过 /etc/docker/certs.d使用与注册表主机名相同的名称（例如 localhost.所有*.crt文件都作为 CA 根添加到此目录。

笔记

在 Linux 上，任何根证书颁发机构都会与系统默认值合并，包括主机的根 CA 集。如果您在 Windows Server 上运行 Docker，或使用 Windows 容器运行 Docker Desktop for Windows，则仅在未配置自定义根证书时才使用系统默认证书。

一对或多对的存在<filename>.key/cert向 Docker 表明访问所需存储库需要自定义证书。

笔记

如果存在多个证书，则按字母顺序尝试每个证书。如果存在 4xx 级或 5xx 级身份验证错误，Docker 会继续尝试下一个证书。

以下说明了具有自定义证书的配置：

    /etc/docker/certs.d/        <-- Certificate directory
    └── localhost:5000          <-- Hostname:port
       ├── client.cert          <-- Client certificate
       ├── client.key           <-- Client key
       └── ca.crt               <-- Root CA that signed
                                    the registry certificate, in PEM

前面的示例是特定于操作系统的，仅用于说明目的。您应该查阅操作系统文档来创建操作系统提供的捆绑证书链。

创建客户端证书

使用 OpenSSLgenrsa和req命令首先生成 RSA 密钥，然后使用该密钥创建证书。

$ openssl genrsa -out client.key 4096
$ openssl req -new -x509 -text -key client.key -out client.cert

笔记

这些 TLS 命令仅在 Linux 上生成一组工作证书。 macOS 中的 OpenSSL 版本与 Docker 所需的证书类型不兼容。

故障排除提示

Docker 守护进程将.crt文件解释为 CA 证书，.cert将文件解释为客户端证书。如果意外为 CA 证书提供了扩展名 .cert而不是正确的.crt扩展名，则 Docker 守护程序会记录以下错误消息：

Missing key KEY_NAME for client certificate CERT_NAME. CA certificates should use the extension .crt.

如果在没有端口号的情况下访问 Docker 注册表，请勿将端口添加到目录名称中。以下显示了默认端口 443 上的注册表配置，可通过以下方式访问docker login my-https.registry.example.com：

    /etc/docker/certs.d/
    └── my-https.registry.example.com          <-- Hostname without port
       ├── client.cert
       ├── client.key
       └── ca.crt

相关信息

• 使用可信图像
• 保护 Docker 守护进程套接字