Docker Registry Server 搭建,配置免費HTTPS證書，及擁有權限認證、TLS

liuchengxu 發布于2019-06-28 16:13 / 1498人閱讀

摘要：上一篇文章搭建了一個具有基礎功能的私有倉庫，這次來搭建一個擁有權限認證的私有倉庫。移動證書到目錄。身份驗證為用戶創建一個帶有一個條目的密碼文件，密碼為創建倉庫啟動注冊表，指示它使用證書。注冊表在端口默認的端口上運行。

上一篇文章搭建了一個具有基礎功能的私有倉庫，這次來搭建一個擁有權限認證、TLS 的私有倉庫。

環境準備

系統：Ubuntu 17.04 x64

IP:198.13.48.154

域名：hub.ymq.io，此域名需要dns 解析到198.13.48.154 作為私有倉庫地址

本文出現的所有：hub.ymq.io 域名。使用時候請替換成自己的域名

Docker 環境

在部署私有倉庫之前，需要在主機上安裝Docker。私有倉庫是 registry images，并在Docker中運行。

我是用的vultr 的服務器，所以，下面操作，就不用配置國內的，加速鏡像庫，直接用Docker官方的！

國內加速倉庫，我其他文章有提到:Ubuntu 17.04 x64 安裝 Docker CE 初窺 Dockerfile 部署 Nginx
http://www.ymq.io/2017/12/30/Docker-Install/

安裝Docker CE

使用存儲庫進行安裝

1.更新apt軟件包索引：

$ sudo apt-get update

2.裝軟件包以允許apt通過HTTPS使用存儲庫：

$ sudo apt-get install 
    apt-transport-https 
    ca-certificates 
    curl 
    software-properties-common

3.添加Docker的官方GPG密鑰：

$ curl -fsSL https://download.docker.com/linux/ubuntu/gpg | sudo apt-key add -

4.使用以下命令來設置穩定的存儲庫

$ sudo add-apt-repository 
   "deb [arch=amd64] https://download.docker.com/linux/ubuntu 
   $(lsb_release -cs) 
   stable"

5.更新apt軟件包索引。

$ sudo apt-get update

7.安裝最新版本的Docker CE

$ sudo apt-get install docker-ce

8.通過運行hello-world 映像驗證是否正確安裝了Docker CE 。

$ sudo docker run hello-world

域名證書

acme.sh 實現了 acme 協議, 可以從 letsencrypt 生成免費的證書. https://github.com/Neilpang/acme.sh

給acme.sh組織贊助：Acknowledgments

很簡單就兩個步驟:

安裝 acme.sh

生成證書，及驗證證書

1.安裝 acme.sh

安裝很簡單, 一個命令:

$ curl  https://get.acme.sh | sh

這條命令，會做的事情

1.把 acme.sh 安裝到你的 home 目錄下：
并創建一個 bash 的 alias, 方便你的使用: acme.sh=~/.acme.sh/acme.sh

2.自動為你創建 cronjob, 每天 0:00 點自動檢測所有的證書, 如果快過期了, 需要更新, 則會自動更新證書.

2.生成證書

如果你還沒有運行任何 web 服務, 且80 端口是空閑的, 那么 acme.sh 能假裝自己是一個webserver, 臨時聽在80 端口, 完成驗證:

注意：如果您使用的時候，請把，hub.ymq.io 替換成自己域名，此域名需要dns 解析到安裝私有倉庫的服務器IP

$ cd ~/.acme.sh/
$ apt-get install socat
$ sh acme.sh  --issue -d hub.ymq.io   --standalone

如果看到如下信息，說明證書驗證并生成成功,證書生成位置在：/root/.acme.sh/hub.ymq.io/ 下

Success
Verify finished, start to sign.
Cert success.
-----BEGIN CERTIFICATE-----

[Wed Jan  3 14:36:25 UTC 2018] Standalone mode.
[Wed Jan  3 14:36:25 UTC 2018] Registering account
[Wed Jan  3 14:36:27 UTC 2018] Registered
[Wed Jan  3 14:36:27 UTC 2018] ACCOUNT_THUMBPRINT="7TpUIE5N--hq2nhk2ruKmHBfgKB-LX-pBCkWzzmHzVM"
[Wed Jan  3 14:36:27 UTC 2018] Creating domain key
[Wed Jan  3 14:36:28 UTC 2018] The domain key is here: /root/.acme.sh/hub.ymq.io/hub.ymq.io.key
[Wed Jan  3 14:36:28 UTC 2018] Single domain="hub.ymq.io"
[Wed Jan  3 14:36:28 UTC 2018] Getting domain auth token for each domain
[Wed Jan  3 14:36:28 UTC 2018] Getting webroot for domain="hub.ymq.io"
[Wed Jan  3 14:36:28 UTC 2018] Getting new-authz for domain="hub.ymq.io"
[Wed Jan  3 14:36:29 UTC 2018] The new-authz request is ok.
[Wed Jan  3 14:36:29 UTC 2018] Verifying:hub.ymq.io
[Wed Jan  3 14:36:29 UTC 2018] Standalone mode server
[Wed Jan  3 14:36:34 UTC 2018] Success
[Wed Jan  3 14:36:34 UTC 2018] Verify finished, start to sign.
[Wed Jan  3 14:36:35 UTC 2018] Cert success.
-----BEGIN CERTIFICATE-----
MIIE9zCCA9+gAwIBAgISA6WV4ZFi6lr/kngVGx7/FoPMMA0GCSqGSIb3DQEBCwUA
******************************************
...

-----END CERTIFICATE-----
[Wed Jan  3 14:36:35 UTC 2018] Your cert is in  /root/.acme.sh/hub.ymq.io/hub.ymq.io.cer 
[Wed Jan  3 14:36:35 UTC 2018] Your cert key is in  /root/.acme.sh/hub.ymq.io/hub.ymq.io.key 
[Wed Jan  3 14:36:35 UTC 2018] The intermediate CA cert is in  /root/.acme.sh/hub.ymq.io/ca.cer 
[Wed Jan  3 14:36:35 UTC 2018] And the full chain certs is there:  /root/.acme.sh/hub.ymq.io/fullchain.cer

搭建倉庫

前提條件：域名的dns 解析到安裝私有倉庫的服務器IP上

復制證書

1.創建一個certs目錄。

$ cd /opt/
$ mkdir -p certs

2.移動證書到certs目錄。

$ cd ~/.acme.sh/
$ sh acme.sh  --installcert  -d  hub.ymq.io   
        --key-file   /opt/certs/hub.ymq.io.key 
        --fullchain-file /opt/certs/fullchain.cer

身份驗證

為用戶創建一個帶有一個條目的密碼文件testuser，密碼為 testpassword：

$ mkdir auth
$ docker run 
  --entrypoint htpasswd 
  registry:2 -Bbn testuser testpassword > auth/htpasswd

創建倉庫

啟動注冊表，指示它使用TLS證書。這個命令將certs/目錄綁定到容器中/certs/，并設置環境變量來告訴容器在哪里找到fullchain.cer 和hub.ymq.io.key文件。注冊表在端口443（默認的HTTPS端口）上運行。

docker run -d 
  --restart=always 
  --name registry 
  -v `pwd`/auth:/auth 
  -e "REGISTRY_AUTH=htpasswd" 
  -e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm" 
  -e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd 
  -v `pwd`/certs:/certs 
  -e REGISTRY_HTTP_ADDR=0.0.0.0:443 
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/fullchain.cer 
  -e REGISTRY_HTTP_TLS_KEY=/certs/hub.ymq.io.key 
  -p 443:443 
  registry:2

查看日志

$ docker logs -f registry

登錄倉庫

$ docker login hub.ymq.io
Username (testuser): testuser
Password: 輸入倉庫密碼
Login Succeeded

拉取鏡像

從 Docker Hub拉取 ubuntu:16.04 鏡像

$ docker pull ubuntu:16.04

標記鏡像

將鏡像標記為 hub.ymq.io/my-ubuntu，在推送時，Docker會將其解釋為倉庫的位置。

$ docker tag ubuntu:16.04 hub.ymq.io/my-ubuntu

推送鏡像

將鏡像推送到本地鏡像標記的倉庫hub.ymq.io/my-ubuntu

$ docker push hub.ymq.io/my-ubuntu

刪除鏡像

刪除本地緩存ubuntu:16.04和hub.ymq.io/my-ubuntu 鏡像，以便您可以測試從私有倉庫中拉取鏡像。這不會hub.ymq.io/my-ubuntu 從您的私有倉庫中刪除鏡像。

$ docker image remove ubuntu:16.04
$ docker image remove hub.ymq.io/my-ubuntu

拉取鏡像

拉取 hub.ymq.io 倉庫的 my-ubuntu 鏡像。

$ docker pull hub.ymq.io/my-ubuntu

查看鏡像

$ docker images hub.ymq.io/my-ubuntu
REPOSITORY             TAG                 IMAGE ID            CREATED             SIZE
hub.ymq.io/my-ubuntu   latest              00fd29ccc6f1        2 weeks ago         111MB

在瀏覽器中查看倉庫中的鏡像。需要輸入賬號密碼

操作API

Docker Registry HTTP API V2

倉庫操作 API 官方文檔：https://docs.docker.com/registry/spec/api/

倉庫搭建官方文檔：https://docs.docker.com/registry/deploying/

Harbor

Harbor是VMware公司開源的企業級DockerRegistry項目，項目地址為：https://github.com/vmware/harbor

其目標是幫助用戶迅速搭建一個企業級的Dockerregistry服務。它以Docker公司開源的registry為基礎，提供了管理UI，基于角色的訪問控制(Role Based Access Control)，AD/LDAP集成、以及審計日志(Auditlogging) 等企業用戶需求的功能，同時還原生支持中文。Harbor的每個組件都是以Docker容器的形式構建的，使用Docker Compose來對它進行部署

Harbor 的搭建，及使用，正在整理中，會在下篇文章體現，關注公眾號：“搜云庫” 我會在微信公眾號首發

Contact

作者：鵬磊

出處：http://www.ymq.io

Email：admin@souyunku.com

版權歸作者所有，轉載請注明出處

Wechat：關注公眾號，搜云庫，專注于開發技術的研究與知識分享

GPU云服務器云服務器 https證書認證 https 證書認證 https 配置證書免費https認證

文章版權歸作者所有，未經允許請勿轉載,若此文章存在違規行為，您可以聯系管理員刪除。

轉載請注明本文地址：http://specialneedsforspecialkids.com/yun/27193.html

墻裂推薦：搜云庫技術團隊，面試必備的技術干貨

摘要：今天整理了一下近大半年以來的一些文章，和我的預期一樣，很多文章我都忘記自己曾經寫過了，這個記錄的過程讓我也有了新的理解。希望大家，收藏，點贊，加轉發。今天整理了一下近大半年以來的一些文章，和我的預期一樣，很多文章我都忘記自己曾經寫過了，這個記錄的過程讓我也有了新的理解。希望大家，收藏，點贊，加轉發。面試必備面試必備：深入Spring MVC DispatchServlet 源碼...

SegmentFault 2019-06-24 18:12 評論0 收藏0
墻裂推薦：搜云庫技術團隊，面試必備的技術干貨

摘要：今天整理了一下近大半年以來的一些文章，和我的預期一樣，很多文章我都忘記自己曾經寫過了，這個記錄的過程讓我也有了新的理解。希望大家，收藏，點贊，加轉發。今天整理了一下近大半年以來的一些文章，和我的預期一樣，很多文章我都忘記自己曾經寫過了，這個記錄的過程讓我也有了新的理解。希望大家，收藏，點贊，加轉發。面試必備面試必備：深入Spring MVC DispatchServlet 源碼...

Neilyo 2019-08-16 13:48 評論0 收藏0
centos7搭建docker私人倉庫（kubernetes）

摘要：我們平時鏡像都是習慣于放在公共倉庫的，比如。但在企業里，我們經常會需要搭建公司自己的鏡像倉庫。這樣可以將數據持久化，當容器掛掉時鏡像不會丟失。下面會講解如何創建一個協議的高可用倉庫。于是我為集群添加了一個節點，來做集群的鏡像倉庫。我們平時鏡像都是習慣于放在公共倉庫的，比如Dockerhub, Daocloud。但在企業里，我們經常會需要搭建公司自己的鏡像倉庫。這篇文章講解如何用d...

lovXin 2019-06-28 16:19 評論0 收藏0
centos7搭建docker私人倉庫（kubernetes）

摘要：我們平時鏡像都是習慣于放在公共倉庫的，比如。但在企業里，我們經常會需要搭建公司自己的鏡像倉庫。這樣可以將數據持久化，當容器掛掉時鏡像不會丟失。下面會講解如何創建一個協議的高可用倉庫。于是我為集群添加了一個節點，來做集群的鏡像倉庫。我們平時鏡像都是習慣于放在公共倉庫的，比如Dockerhub, Daocloud。但在企業里，我們經常會需要搭建公司自己的鏡像倉庫。這篇文章講解如何用d...

mingzhong 2019-05-28 17:05 評論0 收藏0
Docker 創建私有倉庫

摘要：清除所有處于終止狀態的容器訪問倉庫倉庫是集中存放鏡像的地方。倉庫可以看成是一個具體的項目或目錄。是注冊服務器地址，是倉庫名。生成認證文件編輯修改編輯啟動測試私有倉庫功能登錄到私有倉庫嘗試推送拉取鏡像端口若被占用請嘗試用代理 docker save load 與 docker export import 利用ssh pv Linux管道實現鏡像遷移(帶進度條) docker save ...

Kylin_Mountain 2019-06-28 16:35 評論0 收藏0