不重启Docker能添加自签SSL证书镜像仓库吗？

news/2025/2/13 22:30:10/

应用背景

在企业应用Docker规划初期配置非安全镜像仓库时，有时会遗漏一些仓库没配置，但此时应用程序已经在Docker平台上部署起来了，体量越大就越不会让人去直接重启Docker。

那么，不重启Docker能添加自签SSL证书镜像仓库吗？

可以，在文中会找到答案。

实现思路

实现思路来自Docker官网（https://docs.docker.com/registry/insecure/），大意是通过复制镜像仓库的自签证书到操作系统目录，或者到docker的配置目录中。这样就可实现不重启使用该仓库了。

这里有个问题是：“某些情况下，例如镜像仓库不是我们搭建的或拿不到证书，这时候怎么办？”

基于命令是可以拿得到的

实现方式

命令行

通过openssl输出X.509证书到docker证书目录中实现需求。

# 创建镜像仓库证书目录，xxx.com.cn需替换为镜像仓库域名，如端口非443则需要追加:port
mkdir -p /etc/docker/certs.d/xxx.com.cn# 使用openssl获取镜像仓库的X.509证书，写入刚创建目录下文件中，如端口非443则需替换
echo -n | openssl s_client -connect xxx.com.cn:443 2>/dev/null | openssl x509 > /etc/docker/certs.d/xxx.com.cn/ca.crt# 测试登录、拉取等操作
docker login xxx.com.cn
docker pull xxx.com.cn/somepath/nginx:latest

示例：

mkdir -p /etc/docker/certs.d/harbor.test.com.cn:5000echo -n | openssl s_client -connect harbor.test.com.cn:5000 2>/dev/null | openssl x509 > /etc/docker/certs.d/harbor.test.com.cn:5000/ca.crtdocker login harbor.test.com.cn:5000

Shell脚本

cat > add-insecure-repo.sh <<EOF
#/bin/bash
if [ "\$1x" == "x" ]; thenecho "请输入镜像仓库地址";exit;
fiREPO=\$1
#包含:443需去除
if [[ "\$1" =~ ":443" ]]; thenREPO=\${1%:443*}
fi
#包含https://需去除
if [[ "\$REPO" =~ "https://" ]]; thenREPO=\${REPO#*https://}
fimkdir -p /etc/docker/certs.d/\$REPO
#带端口号的不加:443，不带的需要加
if [[ "\$REPO" =~ ":" ]]; thenecho -n | openssl s_client -connect \$REPO 2>/dev/null | openssl x509 > /etc/docker/certs.d/\$REPO/ca.crt
elseecho -n | openssl s_client -connect \$REPO:443 2>/dev/null | openssl x509 > /etc/docker/certs.d/\$REPO/ca.crt
fi
EOF# 执行示例
sh add-insecure-repo.sh harbor.test.com.cn:5000