【Docker】安装registry本地镜像库，开启Https功能证书

binqian

已于 2025-03-12 23:22:49 修改

阅读量1.9k

点赞数 5

分类专栏： Docker 文章标签： docker https java

于 2025-01-07 22:31:06 首次发布

本文链接：https://blog.youkuaiyun.com/binqian/article/details/143461680

版权

Docker 专栏收录该内容

6 篇文章

订阅专栏

103脚本

docker run -d \
--restart=always \
--name registry \
--memory 512m \
-p 444:444 \
-v /root/regimages:/var/lib/registry \
--memory-swap -1 \
-v /root/registrypki:/etc/certs.d \
-e REGISTRY_HTTP_ADDR=0.0.0.0:444 \
-e REGISTRY_HTTP_SECRET=secret \
-e REGISTRY_HTTP_TLS_CERTIFICATE=/etc/certs.d/registry.crt \
-e REGISTRY_HTTP_TLS_KEY=/etc/certs.d/private.key \
registry:2

下载镜像

docker pull registry:2

需要启动https功能，就要生成服务端的自签名的证书和私钥，以及在docker客户端安装这个经过签名的证书。第一步：生成公私钥信息，第二步，制作证书签名申请文件，第三步：用私钥签名申请文件（里面保护公钥申请人的公钥信息）第四步：把签名后的证书配置到docker端，同时在registry端配置私钥

制作公私钥

首先熟悉下相关概念：

x509：证书标准
pem和der：两种（包括公私钥、证书签名请求、证书等内容的）的格式，前者是文本形式，linux常用，后者是二进制形式，windows常用，仅仅是格式，不表明内容，如果作为后缀就像html起的效果一样。有时候用pem做公钥的后缀
crt和cer：常见的两种证书后缀名，前者大多数情况为pem格式，后者大多数情况为der格式
csr：证书签名请求文件（后缀一般都是.csr），包含了公钥、用户名等信息
key：常见的私钥的后缀名

1、先创建一个公私钥对

openssl genpkey -algorithm RSA -out registry_private.key -pkeyopt rsa_keygen_bits:2048

** -algorithm RSA是说明生产公私钥的算法，rsa_keygen_bits:2048 指定rsa算法密钥的长度，长度越长越安全，但是长度长解密时需要更长时间。也可以用 -aes256 选项表示加密保护私钥。

2、查看使用openssl pkey -in registry_private.key -text -noout 查看生成后的私钥信息

里面可以看到公钥和私钥部分信息

3、openssl rsa -in registry_private.key -pubout -out registry_public.key 生产一个公钥信息文件

生成证书签名请求 (CSR)

创建一个配置文件，内容如下:

[root@master01 pki]# cat crs.conf
[req]
distinguished_name = req_distinguished_name
req_extensions = v3_req
prompt = no

[req_distinguished_name]
C = CN
ST = CKG
L = CKG
O = ITTest
OU = IT
CN = 192.168.2.222

[v3_req]
keyUsage = critical, digitalSignature, keyEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names

[alt_names]

DNS.1=master00.com
DNS.2=bqs.master00.com
IP.1 = 192.168.2.222 #这个ip就是你的镜像服务的ip，如果有域名的域名也添加上面 DNS.1= xxx.com

执行命令生成申请文件

openssl req -new -key registry_private.key -out registry.csr -config crs.conf

生成自签名证书

openssl x509 -req -in registry.csr -signkey registry_private.key -out registry.crt -days 3650 -extfile crs.conf -extensions v3_req

-days 3650 指定证书的有效天数

查看证书

openssl x509 -in registry.crt -text -noout

启动私有仓库容器

docker run -d \
--restart=always \
--name registry \
--memory 512m \
-p 443:443 \
-v /root/regimages:/var/lib/registry \
--memory-swap -1 \
-v /root/docker/pki:/etc/certs.d \ # 把刚才生成证书的目录挂载到容器中
-e REGISTRY_HTTP_ADDR=0.0.0.0:443 \
-e REGISTRY_HTTP_SECRET=secret \
-e REGISTRY_HTTP_TLS_CERTIFICATE=/etc/certs.d/registry.crt \ #指定了https的证书
-e REGISTRY_HTTP_TLS_KEY=/etc/certs.d/registry_private.key \ #指定了https的私钥
registry:2