Docker開啟遠程連接并實現(xiàn)安全通信詳解
正文
Docker 使用了客戶端 -- 服務端模型。服務端對外提供 REST API。
默認安裝方式，客戶端和服務端在同一臺主機上，通過本地安全 PIC Socket 進行通信，例如 Linux 中 /var/run/docker.sock。我們還可以配置它們通過網(wǎng)絡進行通信。它們默認網(wǎng)絡配置使用不安全的 HTTP Socket，端口為 2375。
在生產(chǎn)環(huán)境這是不能接受的。通過 TLS 的方式連接解決這個問題。生產(chǎn)環(huán)境中推薦這種配置，即使在可信內(nèi)網(wǎng)中，也建議使用該方式！
Docker 為 TLS 提供兩種模式
- daemon 模式：Docker daemon 只接收認證客戶端的請求。
- 客戶端模式：Docker 客戶端只接收認證的 daemon 發(fā)起的請求。
同時使用它們，能提供最高的安全等級。
下面開始介紹如何完成 TLS 的配置，總體步驟如下。
- 創(chuàng)建 CA 。
- 為 daemon 創(chuàng)建密鑰對。
- 為客戶端創(chuàng)建密鑰對。
- 分發(fā)密鑰
- Docker 配置 TLS 模式
創(chuàng)建 CA
在 node2 運行下面的命令。
- 為 CA 創(chuàng)建私鑰（過程中需要設置密碼）
$ openssl genrsa -aes256 -out ca-key.pem 4096
當前目錄新增一個 ca-key.pem 文件，這是 CA 私鑰。
- 用 CA 私鑰生成公鑰（過程需要輸入之前的密碼）
$ openssl req -new -x509 -days 730 -key ca-key.pem -sha256 -out ca.pem
當前目錄新增一個 ca.pem 文件，這是 CA 公鑰，也叫”證書“。
為 daemon 創(chuàng)建密鑰對
在 node3 運行下面的命令。
- 為 daemon 創(chuàng)建私鑰。
$ openssl genrsa -out daemon-key.pem 4096
當前目錄新增一個 daemon-key.pem 文件，這是 daemon 節(jié)點的私鑰。
- 創(chuàng)建證書簽名請求并發(fā)送到 CA。
$ openssl req -subj "/CN=daemon" \ -sha256 -new -key daemon-key.pem -out daemon.csr
當前目錄新增一個 daemon.csr 文件，這是 CSR。
為證書添加屬性。 創(chuàng)建文件，名為 extfile.cnf。示例中使用了 daemon 節(jié)點的 DNS 名稱和 IP。每個人的環(huán)境中可能值不同。
$ subjectAltName = DNS:daemon,IP:192.168.57.3 extendedKeyUsage = serverAuth
- 生成證書 使用 CSR 文件、CA 密鑰、extfile.cnf 文件完成簽名和 daemon 證書配置。
$ openssl x509 -req -days 730 -sha256 \ -in daemon.csr -CA ca.pem -CAkey ca-key.pem \ -CAcreateserial -out daemon-cert.pem -extfile extfile.cnf
此時，已經(jīng)擁有一個可用 CA ，同時 daemon 的 Node3 節(jié)點也有了自己的密鑰。
繼續(xù)下面內(nèi)容前，刪除 CSR 和 extfile.cnf。
$ rm daemon.csr extfile.cnf
為客戶端創(chuàng)建密鑰對
在 node3 運行下面的命令。
為客戶端創(chuàng)建密鑰
$ openssl genrsa -out client-key.pem 4096
當前目錄新增一個 client-key.pem 文件。
創(chuàng)建 CSR。
$ openssl req -subj '/CN=client' -new -key client-key.pem -out client.csr
當前目錄新增一個 client.csr 文件。
創(chuàng)建 extfile.cnf 文件 將證書設置為客戶端認證可用。文件內(nèi)容如下。
extendedKeyUsage = clientAuth
生成證書 使用 CSR 文件、CA 密鑰、extfile.cnf 文件完成簽名和客戶端證書配置。
$ openssl x509 -req -days 730 -sha256 \ -in client.csr -CA ca.pem -CAkey ca-key.pem \ -CAcreateserial -out client-cert.pem -extfile extfile.cnf
刪除 CSR 和 extfile.cnf ，因為不會用到它們了。 $ rm client.csr extfile.cnf
此時，在工作目錄下應該有如下 7 個文件。
ca-key.pem ca.pem ca.srl client-cert.pem client-key.pem daemon-cert.pem daemon-key.pem
分發(fā)密鑰
- 從 CA (剛才證書生成的 node) 復制 ca.pem、daemon-cert.pem、daemon-key.pem 到 node3（daemon 節(jié)點）。
- 從 CA (剛才證書生成的 node) 復制 ca.pem、client-cert.pem、client-key.pem 到 node1（客戶端節(jié)點）。
這里用 scp 完成復制操作。在 scp 的過程中對部分文件進行了重命名。重命名非常重要，因為 Docker 對文件命名有規(guī)范。
// Daemon files $ scp ./ca.pem ubuntu@daemon:/home/ubuntu/.docker/ca.pem $ scp ./daemon-cert.pem ubuntu@daemon:/home/ubuntu/.docker/cert.pem $ scp ./daemon-key.pem ubuntu@daemon:/home/ubuntu/.docker/key.pem // Client files $ scp ./ca.pem ubuntu@client:/home/ubuntu/.docker/ca.pem $ scp ./client-cert.pem ubuntu@client:/home/ubuntu/.docker/cert.pem $ scp ./client-key.pem ubuntu@client:/home/ubuntu/.docker/key.pem
Docker 配置 TLS 模式
進入 Node3（daemon 節(jié)點）完成下面的配置。
找到 daemon.json 配置文件。在 Linux 上位于 /etc/docker，編輯 daemon.json 文件，添加如下行。
"tls": true, "tlsverify": true, "tlscacert": "/home/ubuntu/.docker/ca.pem", "tlscert": "/home/ubuntu/.docker/cert.pem", "tlskey": "/home/ubuntu/.docker/key.pem", "hosts": ["tcp://你的 daemon 的IP:2376"]
這些 daemon.json 中的參數(shù)意義如下。
- tlsverify ：開啟 TLS 認證。
- tlscacert ：指定daemon可信任的 CA。
- tlscert ：向 Docker 指定 daemon 證書的位置。
- tlskey ：向 Docker 指定daemon私鑰的位置。
- hosts ：向 Docker 指定需要綁定 daemon 的具體 Socket。
警告：部分版本的 Linux 系統(tǒng)運行 systemd 的，不允許在 daemon.json 中使用“hosts”選項。替換方案是在 systemd 配置文件中進行重寫。創(chuàng)建名為 /etc/systemd/system/docker.service.d/override.conf 的新文件。在其中加入下列 3 行內(nèi)容，然后保存。
[Service] ExecStart= ExecStart=/usr/bin/dockerd -H tcp://你的 daemon 的IP:2376”
重啟 daemon 。
$ systemctl daemon-reload $ systemctl restart docker.service
如果重啟失敗且錯誤為
docker.service: Main process exited, code=exited, status=1/FAILURE
為了讓它工作，編輯 /lib/systemd/system/docker.service，修改如下內(nèi)容之后再次嘗試重啟。
# 修改前: ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock # 修改后: ExecStart=/usr/bin/dockerd --containerd=/run/containerd/containerd.sock
理論上，/etc/systemd/system/docker.service.d/override.conf 與 /etc/docker/daemon.json 可以同時修改，但是并不建議這么做，如果僅修改 /etc/docker/daemon.json 沒有出現(xiàn)任何問題，那就太棒了。
進入 Docker 客戶端節(jié)點，配置臨時環(huán)境變量。
$ export DOCKER_HOST=tcp://你的 daemon IP 地址:2376
嘗試運行 $ docker version，會出現(xiàn)錯誤，類似無法連接 daemon。接著設置另一個環(huán)境變量。
$ export DOCKER_TLS_VERIFY=1
它是告知 Docker 客戶端使用證書對全部命令進行簽名，此時再試試 $ docker version！
?? 恭喜。你成功完成了客戶端與 daemon 完成安全的通信。
以上就是Docker開啟遠程連接并實現(xiàn)安全通信詳解的詳細內(nèi)容，更多關于Docker遠程連接安全通信的資料請關注腳本之家其它相關文章！
相關文章
docker-compose.yml參數(shù)的用法(配置文件)
這篇文章主要介紹了docker-compose.yml參數(shù)的用法(配置文件),具有很好的參考價值,希望對大家有所幫助,如有錯誤或未考慮完全的地方,望不吝賜教2023-11-11
這篇文章主要介紹了Docker部署web項目的實現(xiàn)，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧2020-10-10
本文主要介紹了Docker鏡像構建之docker commit的使用，文中通過示例代碼介紹的非常詳細，對大家的學習或者工作具有一定的參考學習價值，需要的朋友們下面隨著小編來一起學習學習吧2022-04-04
Docker Compose是一個用來定義和運行多個復雜應用的Docker編排工具,下面這篇文章主要給大家介紹了關于如何安裝最新版Docker?Compose的相關資料,文中通過代碼介紹的非常詳細,需要的朋友可以參考下2024-07-07
Docker consul的容器服務更新與發(fā)現(xiàn)的問題小結
這篇文章主要介紹了Docker consul的容器服務更新與發(fā)現(xiàn),講解了服務注冊與發(fā)現(xiàn)的基本概念講解，本文給大家介紹的非常詳細，需要的朋友可以參考下2021-08-08
這篇文章主要介紹了如何使用?docker?搭建一個mysql服務，文章圍繞主題展開詳細的內(nèi)容介紹，具有一定的參考價值，需要的小伙伴可以參考一下2022-09-09
詳解Docker鏡像提交命令commit的工作原理和使用方法
這篇文章主要介紹了詳解Docker鏡像提交命令commit的工作原理和使用方法，可以依據(jù)這個容器創(chuàng)建本地鏡像，并可把這個鏡像推送到Docker hub中，以便在網(wǎng)絡上下載使用，感興趣的可以了解一下2018-11-11
Docker容器使得應用程序的部署和管理變得更加簡單和高效,有時,我們可能需要將一個運行中的Docker容器打包,并在其他服務器上運行,本文將詳細介紹如何實現(xiàn)這一過程,需要的朋友可以參考下2024-05-05
今天小編就為大家分享一篇關于Dockerfile指令與基本結構的講解，小編覺得內(nèi)容挺不錯的，現(xiàn)在分享給大家，具有很好的參考價值，需要的朋友一起跟隨小編來看看吧2019-03-03
使用docker的python基礎鏡像時要指定patch版本原理
這篇文章主要為大家介紹了使用docker的python基礎鏡像時要指定patch版本原理,有需要的朋友可以借鑒參考下,希望能夠有所幫助,祝大家多多進步,早日升職加薪2023-10-10