本文将介绍如何在Docker中开启SSL证书加密以确保远程链接的安全性。首先，我们将使用openssl工具来创建必要的证书和密钥。接着，配置Docker以支持TLS连接，最后验证加密链接是否正常工作。
1. 使用openssl制作证书密钥
在开始之前，确保在服务器上创建一个新的目录`/etc/docker`并切换到这个目录。接下来，生成RSA私钥作为根证书：
```bash
mkdir /etc/docker && cd /etc/docker
openssl genpkey -aes256 -out ca-key.pem -algorithm RSA -pkeyopt rsa_keygen_bits:4096
```
这将创建一个名为`ca-key.pem`的文件，其中包含4096位的AES256加密私钥。在生成过程中，系统会提示输入一个密码。
然后，使用这个私钥创建自签名的CA证书：
```bash
openssl req -new -x509 -days 1000 -key ca-key.pem -sha256 -subj "/CN=*" -out ca.pem
```
这个命令会创建一个有效期为1000天的CA证书`ca.pem`。
接着，为Docker服务端生成私钥：
```bash
openssl genpkey -out server-key.pem -algorithm RSA -pkeyopt rsa_keygen_bits:4096
```
然后创建服务端证书签名请求(CSR)：
```bash
openssl req -new -key server-key.pem -sha256 -subj "/CN=*" -out server.csr
```
1. 创建签名生效的服务端证书文件
使用CA私钥对服务端CSR进行签名：
```bash
openssl x509 -req -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem -days 1000 -sha256
```
同时，为了客户端认证，我们需要创建客户端私钥和CSR：
```bash
openssl genpkey -out client-key.pem -algorithm RSA -pkeyopt rsa_keygen_bits:4096
openssl req -new -key client-key.pem -sha256 -subj "/CN=client" -out client.csr
```
接下来，创建一个扩展文件`extfile.cnf`，定义客户端证书的扩展属性，例如：
```
subjectKeyIdentifier=hash
authorityKeyIdentifier=keyid,issuer:always
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = clientAuth
```
然后，使用这个配置文件签名客户端证书：
```bash
openssl x509 -req -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out client-cert.pem -days 1000 -sha256 -extfile extfile.cnf
```
最后，删除不再需要的中间文件：
```bash
rm -f server.csr client.csr ca.srl
```
2. 配置Docker支持TLS链接
编辑Docker守护进程配置文件`/etc/systemd/system/docker.service.d/50-tls.conf`，添加以下内容：
```
[Service]
ExecStart=
ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/etc/docker/ca.pem --tlscert=/etc/docker/server-cert.pem --tlskey=/etc/docker/server-key.pem -H tcp://0.0.0.0:2376
```
之后，应用这些更改并重启Docker：
```bash
systemctl daemon-reload
systemctl restart docker
```
3. 验证TLS方式远程链接
在客户端，将服务器上的`ca.pem`, `server-cert.pem`, `server-key.pem`三个文件复制到相应目录。然后，可以通过`docker`命令行工具使用`--tls`参数进行测试链接。
对于Windows用户，可以使用图形化工具如Docker Desktop，配置SSL证书链接。在工具中选择SSL证书链接方式，填写服务器地址、端口、客户端证书和私钥路径。通过尝试拉取镜像或启动容器来验证连接是否成功。
通过上述步骤，Docker现在已启用SSL证书加密，确保了远程链接的安全性。
我的内容管理
展开
