Docker開啟TLS和CA認證的方法步驟
發(fā)布日期：2021-12-12 14:18 | 文章來源：腳本之家
：Docker直接開啟2375端口是不安全的，別人只要連上之后就可以任意操作，下面是開啟Docker的TLS和CA認證方法，并使用Jenkins和Portainer連接。
一、生成證書
查看服務器主機名
hostname
auto-generate-docker-tls-ca.sh
# !/bin/bash # 一鍵生成TLS和CA證書 # Create : 2021-08-25 # Update : 2021-08-25 # @Autor : wuduoqiang # 服務器主機名 SERVER="6c377ffb8e86" # 密碼 PASSWORD="2cx&BUjsV4u%3TW9" # 國家 COUNTRY="CN" # 省份 STATE="海南省" # 城市 CITY="?？谑? # 機構名稱 ORGANIZATION="小強崽公司" # 機構單位 ORGANIZATIONAL_UNIT="小強崽單位" # 郵箱 EMAIL="875667601@qq.com" # 生成CA密鑰 openssl genrsa -aes256 -passout pass:$PASSWORD -out ca-key.pem 2048 # 生成CA證書 openssl req -new -x509 -passin "pass:$PASSWORD" -days 3650 -key ca-key.pem -sha256 -out ca-cert.pem -subj "/C=$COUNTRY/ST=$STATE/L=$CITY/O=$ORGANIZATION/OU=$ORGANIZATIONAL_UNIT/CN=$SERVER/emailAddress=$EMAIL" # 生成服務端密鑰 openssl genrsa -out server-key.pem 2048 # 生成服務端證書簽名的請求文件 openssl req -subj "/CN=$SERVER" -new -key server-key.pem -out server-req.csr # 生成服務端證書 openssl x509 -req -days 3650 -in server-req.csr -CA ca-cert.pem -CAkey ca-key.pem -passin "pass:$PASSWORD" -CAcreateserial -out server-cert.pem # 生成客戶端密鑰 openssl genrsa -out client-key.pem 2048 # 生成客戶端證書簽名的請求文件 openssl req -subj '/CN=client' -new -key client-key.pem -out client-req.csr # 生成客戶端證書 sh -c 'echo "extendedKeyUsage=clientAuth" >> extfile.cnf' openssl x509 -req -days 3650 -in client-req.csr -CA ca-cert.pem -CAkey ca-key.pem -passin "pass:$PASSWORD" -CAcreateserial -out client-cert.pem -extfile extfile.cnf # 更改密鑰權限 chmod 0400 ca-key.pem server-key.pem client-key.pem # 更改證書權限 chmod 0444 ca-cert.pem server-cert.pem client-cert.pem # 刪除無用文件 # rm ca-cert.srl client-req.csr server-req.csr extfile.cnf
文件說明
ca.srl：CA簽發(fā)證書的序列號記錄文件 ca-cert.pem：CA證書 ca-key.pem：CA密鑰 server-key.pem：服務端密鑰 server-req.csr：服務端證書簽名請求文件 server-cert.pem：服務端證書 client-key.pem：客戶端密鑰 extfile.cnf：客戶端證書擴展配置文件 client-req.csr：客戶端證書簽名請求文件 client-cert.pem：客戶端證書
命令解析
# -subj /C=$COUNTRY/ST=$STATE/L=$CITY/O=$ORGANIZATION/OU=$ORGANIZATIONAL_UNIT/CN=$SERVER/emailAddress=$EMAIL -subj 是 指定證書申請人的信息 C 是 Country Name ST 是 State or Province Name L 是 Locality Name O 是 Organization Name OU 是 Organizational Unit Name CN 是 Common Name emailAddress 是 Email Address
二、開啟遠程
開啟Docker的遠程訪問API
# 編輯文件 vim /etc/systemd/system/docker.service # 修改內容,注意證書的指定位置 ExecStart=/usr/bin/dockerd \ --tlsverify \ --tlscacert=/etc/docker/ca-cert.pem \ --tlscert=/etc/docker/server-cert.pem \ --tlskey=/etc/docker/server-key.pem \ -H unix:///var/run/docker.sock \ -H tcp://0.0.0.0:2375 # 重啟服務 systemctl daemon-reload && systemctl restart docker
如果沒有密鑰和證書是連不上的
docker -H 192.168.8.248:2375 images
使用主機名沒有密鑰和證書也是連不上的
docker -H 6c377ffb8e86:2375 images
加上密鑰和證書沒有使用主機名也是連不上
curl https://192.168.8.248:2375/info --cert ./client-cert.pem --key ./client-key.pem --cacert ./ca-cert.pem
加上密鑰和證書并且使用主機名就能訪問
curl https://6c377ffb8e86:2375/info --cert ./client-cert.pem --key ./client-key.pem --cacert ./ca-cert.pem
三、遠程連接
3.1 Jenkins連接
添加憑證
填寫信息
測試連接,注意這里要使用主機名
如果是docker安裝的jenkins,則需要映射主機名
version: '3'
services:
jenkins:
restart: always
image: 192.168.8.247/xiaoqiangzai/jenkins:latest
container_name: jenkins
ports:
- '8888:8080'
- '50000:50000'
volumes:
- ./data/jenkins_home:/var/jenkins_home
- ./data/war/jenkins.war:/usr/share/jenkins/jenkins.war
environment:
JENKINS_OPTS: "--prefix=/jenkins"
extra_hosts:
- "6c377ffb8e86:192.168.8.248"
3.2 Portainer連接
選擇客戶端密鑰和證書以及CA證書
連接正常
如果是docker安裝的Portainer,則需要映射主機名
version: '3'
services:
portainer:
restart: always
image: portainer/portainer-ce:latest
container_name: portainer
privileged: true
ports:
- '9000:9000'
volumes:
- ./data/data:/data
- ./data/public:/public
extra_hosts:
- "6c377ffb8e86:192.168.8.248"
到此這篇關于Docker開啟TLS和CA認證的方法步驟的文章就介紹到這了,更多相關Docker開啟TLS和CA認證內容請搜索本站以前的文章或繼續(xù)瀏覽下面的相關文章希望大家以后多多支持本站！
版權聲明：本站文章來源標注為YINGSOO的內容版權均為本站所有，歡迎引用、轉載，請保持原文完整并注明來源及原文鏈接。禁止復制或仿造本網站，禁止在非www.sddonglingsh.com所屬的服務器上建立鏡像，否則將依法追究法律責任。本站部分內容來源于網友推薦、互聯(lián)網收集整理而來，僅供學習參考，不代表本站立場，如有內容涉嫌侵權，請聯(lián)系alex-e#qq.com處理。
相關文章
關注官方微信