Ubantu docker学习笔记（八）私有仓库

news/2025/3/29 19:26:32/

文章目录

  • 一、建立HTTPS链接
    • 1.在仓库服务器上获取TLS证书
      • 1.1 生成证书颁发机构证书
      • 1.2 生成服务器证书
      • 1.3 利用证书运行仓库容器
    • 2.让私有仓库支持HTTPS
    • 3.客户端端配置
  • 二、基本身份验证
  • 三、对外隐藏仓库服务器
    • 3.1 在服务器端
    • 3.2 在客户端进行
  • 四、仓库可视化

在前面的学习中，我们可以知道，我们所使用上传的镜像全都是公共镜像，镜像如果是商业机密，只能供公司内部人员使用，怎么办，这个就涉及到我们私有仓库的搭建。
在这里插入图片描述
在这一章的学习中，我们就用两台主机，分别作为服务器端和客户端，现在我们开始吧！

名称IP地址
服务端192.168.2.109
客户端192.168.2.108

一、建立HTTPS链接

<registry.xinhua.com>可以替换
/opt/docker/registry/certs也地址可以进行修改

1.在仓库服务器上获取TLS证书

新建一个目录

sudo su
mkdir -p /opt/docker/registry/certs
cd /opt/docker/registry/certs
ls

1.1 生成证书颁发机构证书

生成 CA 证书私钥

openssl genrsa -out ca.key 4096

生成ca证书

openssl req -x509 -new -nodes -sha512 -days 3650 \-subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=Personal/CN=registry.xinhua.com" \-key ca.key \-out ca.crt

在这里插入图片描述

1.2 生成服务器证书

生成私钥

openssl genrsa -out registry.xinhua.com.key 4096

生成证书签名请求 （CSR）

openssl req -sha512 -new \-subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=Personal/CN=registry.xinhua.com" \-key registry.xinhua.com.key \-out registry.xinhua.com.csr

在这里插入图片描述
生成 x509 v3 扩展文件

cat > v3.ext <<-EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names[alt_names]
DNS.1=registry.xinhua.com
DNS.2=registry.xinhua
DNS.3=hostname
EOF

使用该文件为 主机生成证书v3.ext

openssl x509 -req -sha512 -days 3650 \-extfile v3.ext \-CA ca.crt -CAkey ca.key -CAcreateserial \-in registry.xinhua.com.csr \-out registry.xinhua.com.crt

在这里插入图片描述

1.3 利用证书运行仓库容器

docker run -it -d --name registry-TLS -p 5000:5000 -v /opt/docker/registry/certs/:/certs -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/registry.xinhua.com.crt -e REGISTRY_HTTP_TLS_KEY=/certs/registry.xinhua.com.key registry:2

在这里插入图片描述

2.让私有仓库支持HTTPS

ip addr

在这里插入图片描述
在仓库服务器和客户端配置域名解析

sudo gedit /etc/hosts192.168.2.109 registry.xinhua.com
192.168.2.109 nginx.xinhua.com

在这里插入图片描述
验证一下

ping registry.xinhua.com

在这里插入图片描述

3.客户端端配置

在仓库服务器和客户端配置域名解析

sudo gedit /etc/hosts<服务器ip>
192.168.2.109 registry.xinhua.com
192.168.2.109 nginx.xinhua.com

在这里插入图片描述
验证一下

ping registry.xinhua.com

在这里插入图片描述
客户端安装open-ssh server

apt-get install openssh-server

在客户端上创建存储证书的目录

mkdir -p /etc/docker/certs.d/registry.xinhua.com\:5000

将服务器上的所有证书/opt/docker/registry/certs(.cert .key .crt)通过scp拷贝到创建客户端存储证书的目录服务端执行

修改服务端权限：chmod 777 /opt/docker/registry/certs
修改客户机权限：chmod 777 /etc/docker/certs.d/registry.xinhua.com:5000scp -r -p /etc/docker/certs.d/registry.xinhua.com:5000/register.xinhua.com.crt username@serverip: /opt/docker/registry/certs/register.xinhua.com.crt username<登录用户名你服务器的名字【就是你直接打开控制台的名字】>
serverip<客户端ip（ip addr查看）> 192.168.2.108scp -r -p /opt/docker/registry/certs/registry.xinhua.com.crt root-u@192.168.2.108:/etc/docker/certs.d/registry.xinhua.com:5000/register.xinhua.com.crt

在这里插入图片描述
客户端
在这里插入图片描述
下面我们就来演示吧

名称IP地址
服务端192.168.2.109
客户端192.168.2.108

在客户端推送镜像
代码解释参考：Ubantu docker学习笔记（三）docker账号push及Dockerfile优化

docker tag busybox:latest registry.xinhua.com:5000/busybox:V1
docker push registry.xinhua.com:5000/busybox:V1

在这里插入图片描述

curl -X GET https://registry.xinhua.com:5000/v2/_catalog -k

在这里插入图片描述

二、基本身份验证

创建目录及用户密码文件

mkdir /opt/docker/registry/auth
docker run  --entrypoint htpasswd  httpd:2 -Bbn testuser testpassword > /opt/docker/registry/auth/htpasswd这里注意testuser testpassword 就是我们后面登录的账号密码了

停止之前镜像（直接把所有关了）

docker stop $(docker ps -q) & docker rm $(docker ps -aq)

再次运行我们的服务镜像

docker run -d  \
-p 5000:5000   \
--restart=always  \
--name registry  \
-v /opt/docker/registry/auth:/auth  \
-e "REGISTRY_AUTH=htpasswd"  \
-e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm"  \
-e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd  \
-v /opt/docker/registry/certs:/certs   \
-e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/registry.xinhua.com.crt   \
-e REGISTRY_HTTP_TLS_KEY=/certs/registry.xinhua.com.key   registry:2

在这里插入图片描述
去我们客户端进行镜像上传

docker push registry.xinhua.com:5000/busybox:V1

在这里插入图片描述
可以看到我们上传不了，接着我们登录

登录

docker login registry.xinhua.com:5000

账号：testuser
密码：testpassword
在这里插入图片描述
在这里插入图片描述
我们再去上传我们的镜像

docker push registry.xinhua.com:5000/busybox:V1

在这里插入图片描述

三、对外隐藏仓库服务器

3.1 在服务器端

安装nginx

apt install nginx

为nginx创建SSL秘钥和证书到/etc/nginx/certs/目录下

mkdir -p /etc/nginx/certs/
cd /etc/nginx/certs/
ls

开始参考https的方式啦，也就是相当于把registry.xinhua.com全都替换成nginx.xinhua.com

生成ca证书私钥

openssl genrsa -out ca.key 4096

生成ca证书

openssl req -x509 -new -nodes -sha512 -days 3650 \-subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=Personal/CN=nginx.xinhua.com" \-key ca.key \-out ca.crt

生成服务器证书,私钥

openssl genrsa -out nginx.xinhua.com.key 4096

生成证书签名请求 （CSR）

openssl req -sha512 -new \-subj "/C=CN/ST=Beijing/L=Beijing/O=example/OU=Personal/CN=nginx.xinhua.com" \-key nginx.xinhua.com.key \-out nginx.xinhua.com.csr

生成 x509 v3 扩展文件

cat > v3.ext <<-EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names[alt_names]
DNS.1=nginx.xinhua.com
DNS.2=nginx.xinhua
DNS.3=hostname
EOF

使用该文件为 主机生成证书v3.ext

openssl x509 -req -sha512 -days 3650 \-extfile v3.ext \-CA ca.crt -CAkey ca.key -CAcreateserial \-in nginx.xinhua.com.csr \-out nginx.xinhua.com.crt

在这里插入图片描述
在客户端上创建存储证书的目录

mkdir -p /etc/docker/certs.d/nginx.xinhua.com\:443

将服务器上的所有证书/opt/docker/registry/certs(.cert .key .crt)通过scp拷贝到创建客户端存储证书的目录服务端执行

修改服务端权限：
chmod 777 /etc/nginx/certs/
修改客户机权限：
chmod 777 /etc/docker/certs.d/nginx.xinhua.com:443
chmod 777 /usr/local/share/ca-certificatesusername<登录用户名你服务器的名字【就是你直接打开控制台的名字】>
serverip<客户端ip（ip addr查看）> 192.168.2.108scp -r -p /etc/nginx/certs/nginx.xinhua.com.crt root-u@192.168.2.108:/etc/docker/certs.d/nginx.xinhua.com:443/nginx.xinhua.com.crt
scp -r -p /etc/nginx/certs/nginx.xinhua.com.crt root-u@192.168.2.108:/usr/local/share/ca-certificates/nginx.xinhua.com.crt

在这里插入图片描述

修改nginx配置/etc/nginx/nginx.conf让nginx的支持SSL的反向代理和身份验证

user www-data;
worker_processes auto;
pid /run/nginx.pid;
include /etc/nginx/modules-enabled/*.conf;events {worker_connections 768;# multi_accept on;
}http {upstream docker-register {server registry.xinhua.com:5000;}server {listen 443 ssl;server_name nginx.xinhua.com;#修改ssl_certificate /etc/nginx/certs/nginx.xinhua.com.crt;#修改ssl_certificate_key /etc/nginx/certs/nginx.xinhua.com.key;ssl_session_cache builtin:1000 shared:SSL:10m;ssl_protocols TLSv1 TLSv1.1 TLSv1.2;ssl_ciphers HIGH:!aNULL:!eNULL:!EXPORT:!CAMELLIA:!DES:!MD5:!PSK:!RC4;ssl_prefer_server_ciphers on;proxy_set_header Host $host;proxy_set_header X-Real-IP $remote_addr;add_header 'Docker-Distribution-Api-Version' 'registry/2.0' always;location / {auth_basic "Restricted";auth_basic_user_file /etc/nginx/auth/htpasswd.txt;proxy_set_header Host $host;proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_set_header X-Forwarded-Proto $scheme;proxy_pass https://docker-register;proxy_read_timeout 900;}location /v2 {auth_basic off;proxy_pass https://docker-register;}location /_ping {auth_basic off;proxy_pass https://docker-register;}location /v2/_ping {auth_basic off;proxy_pass https://docker-register;}location /v2/_catalog {auth_basic off;proxy_pass https://docker-register;}}### Basic Settings##sendfile on;tcp_nopush on;types_hash_max_size 2048;# server_tokens off;# server_names_hash_bucket_size 64;# server_name_in_redirect off;include /etc/nginx/mime.types;default_type application/octet-stream;### SSL Settings##ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3; # Dropping SSLv3, ref: POODLEssl_prefer_server_ciphers on;### Logging Settings##access_log /var/log/nginx/access.log;error_log /var/log/nginx/error.log;### Gzip Settings##gzip on;# gzip_vary on;# gzip_proxied any;# gzip_comp_level 6;# gzip_buffers 16 8k;# gzip_http_version 1.1;# gzip_types text/plain text/css application/json application/javascript text/xml application/xml application/xml+rss text/javascript;### Virtual Host Configs##include /etc/nginx/conf.d/*.conf;include /etc/nginx/sites-enabled/*;
}#mail {
#	# See sample authentication script at:
#	# http://wiki.nginx.org/ImapAuthenticateWithApachePhpScript
#
#	# auth_http localhost/auth.php;
#	# pop3_capabilities "TOP" "USER";
#	# imap_capabilities "IMAP4rev1" "UIDPLUS";
#
#	server {
#		listen     localhost:110;
#		protocol   pop3;
#		proxy      on;
#	}
#
#	server {
#		listen     localhost:143;
#		protocol   imap;
#		proxy      on;
#	}
#}

使用htpasswd去生成用户账号，设置密码

mkdir /etc/nginx/auth
cd /etc/nginx/auth
apt install apache2-utils
htpasswd -c htpasswd.txt user输入你的密码

在这里插入图片描述
重启Nginx服务

sudo /etc/init.d/nginx restart

注意！！！
一定要打全
https://192.168.2.109:443
直接输入域名可能出现以下错误

没有打端口号
在这里插入图片描述
没有用http连接
在这里插入图片描述
正确！！！
在这里插入图片描述

在这里插入图片描述

3.2 在客户端进行

配置

sudo vi /etc/docker/daemon.json{  "registry-mirrors": ["https://8f6a79wk.mirror.aliyuncs.com"],"insecure-registries":["私库地址（可以域名也可以ip）"]
}我的配置
{"registry-mirrors": ["https://8f6a79wk.mirror.aliyuncs.com"],"insecure-registries":["https://nginx.xinhua.com"]
}如果不配置就会出现
Error response from daemon: Get "https://nginx.xinhua.com/v2/": x509: certificate signed by unknown authority

登录

update-ca-certificates
systemctl daemon-reload
systemctl restart docker第一种：
docker login https://192.168.2.109:443 -u user -p "123456"第二种：
#设置环境变量
export PASSWORD=123456
#以环境变量的方式读入
echo "$PASSWORD" | docker login https://https://nginx.xinhua.com --username user --password-stdin

在这里插入图片描述

我们再去上传我们的镜像

docker tag busybox:latest 192.168.2.109:443/busybox:V1
docker push 192.168.2.109:443/busybox:V1

四、仓库可视化

http:

docker run --name registry -d  -p 5000:5000 --restart=always  -v /opt/data/registry:/var/lib/registry registrydocker run -it -d -p 8080:8080 --name registry-web --link registry   \
-e REGISTRY_URL=http://192.168.2.109:5000/v2            \
-e REGISTRY_TRUST_ANY_SSL=true            \
-e REGISTRY_BASIC_AUTH="cm9vdDoxMjM0NTY"            \
-e REGISTRY_NAME=192.168.2.109:5000 hyper/docker-registry-web

在这里插入图片描述

https:(未实现)

docker run -it -d --name registry-TLS -p 5000:5000 -v /opt/docker/registry/certs/:/certs -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/registry.xinhua.com.crt -e REGISTRY_HTTP_TLS_KEY=/certs/registry.xinhua.com.key registry:2docker run -it -d -p 8080:8080 --name registry-web --link registry-TLS   \
-e REGISTRY_URL=https://192.168.2.109:5000/v2            \
-e REGISTRY_TRUST_ANY_SSL=true            \
-e REGISTRY_BASIC_AUTH="cm9vdDoxMjM0NTY"            \
-e REGISTRY_NAME=192.168.2.109:5000 hyper/docker-registry-web

在这里插入图片描述


http://www.ppmy.cn/news/58504.html

相关文章

C语言函数声明以及函数原型

C语言函数声明以及函数原型

所谓声明&#xff08;Declaration&#xff09;&#xff0c;就是告诉编译器我要使用这个函数&#xff1b; 函数声明的格式&#xff0c;是去掉函数定义中的函数体&#xff0c;并在最后加上分号; 也可以不写形参&#xff0c;只写数据类型&#xff1a; dataType functionName( d…
阅读更多...
JSP+Struct+MySql基于BBS管理系统设计与实现(源代码+论文+中英资料+开题报告+答辩PPT)

JSP+Struct+MySql基于BBS管理系统设计与实现(源代码+论文+中英资料+开题报告+答辩PPT)

现今的社会是一个信息飞速发达的社会&#xff0c;其中在信息的交流当中&#xff0c;互联网占据着一个非常重要的位置。人们可以通过在互联网上收到最新的消息&#xff0c;也可以通过互联网进行信息的交流。而论坛就是大家进行信息交流的其中一个渠道。 论坛的概念&#xff1a;论…
阅读更多...
【前端面经】vue-Vue的Diff算法

【前端面经】vue-Vue的Diff算法

什么是Diff算法&#xff1f; Diff算法是Vue.js的一个核心特性&#xff0c;它是一种用于比较虚拟DOM树的差异&#xff0c;并最小化DOM操作的数量。当Vue.js检测到数据更改时&#xff0c;它会生成一个新的虚拟DOM树&#xff0c;并将其与旧虚拟DOM树进行比较。Diff算法会查找差异…
阅读更多...
【Python习题集6】类与对象

【Python习题集6】类与对象

类与对象 一、实验内容二、实验总结 一、实验内容 1.设计一个Circle类来表示圆&#xff0c;这个类包含圆的半径以及求面积和周长的函数。在使用这个类创建半径为1~10的圆&#xff0c;并计算出相应的面积和周长。 半径为1的圆&#xff0c;面积: 3.14 周长: 6.28 半径为2的圆&am…
阅读更多...
Android 9.0 设置静态ip重启后获取不到ip的修复

Android 9.0 设置静态ip重启后获取不到ip的修复

1.概述 在9.0的系统rom定制化开发中，在一些产品开发中，在对于设置静态ip以后可以正常使用， 但是遇到一个新问题 就是开机以后，获取不到ip，地址，这就有点不正常了， 获取不到ip 就自然连不上网了，所以要分析问题所在解决问题 2.设置静态ip重启后获取不到ip的修复的核心…
阅读更多...
2023-05-04 LeetCode每日一题(摘水果)

2023-05-04 LeetCode每日一题(摘水果)

2023-05-04每日一题 一、题目编号 2106. 摘水果二、题目链接 点击跳转到题目位置 三、题目描述 在一个无限的 x 坐标轴上&#xff0c;有许多水果分布在其中某些位置。给你一个二维整数数组 fruits &#xff0c;其中 fruits[i] [positioni, amounti] 表示共有 amounti 个水…
阅读更多...
Ansible的基础了解

Ansible的基础了解

目录 第一章.Ansible概述 1.1.Ansible是什么 1.2.Ansible的特性和过程 1.3.ansible 具有如下特点&#xff1a; 1.4.Ansible的四个组件 1.5.ansible 核心程序 1.6.ansible执行的过程 第二章.Ansible 环境安装部署 2.1.实验环境&#xff0c;安装部署 第三章.ansible 命…
阅读更多...
STM32F103——时钟详细介绍

STM32F103——时钟详细介绍

STM32F103是一款基于ARM Cortex-M3内核的微控制器&#xff0c;它拥有丰富的外设和强大的计算能力&#xff0c;因此被广泛应用于各种嵌入式系统中。在STM32F103中&#xff0c;时钟是一个极其重要的组成部分&#xff0c;它不仅影响着微控制器的性能和功耗&#xff0c;还关系到外设…
阅读更多...
最新文章

Copyright @ 2022~2023