在Ubuntu 14.04上设置私有Docker Registry

关注

翻译最新推荐文章于 2026-07-16 15:18:22 发布 3k 阅读 AI 写同款· GEO 优化 ›

【Docker系列】6-Docker Hub和Registry实战官方配置参考 https://docs.docker.com/engine/reference/commandline/dockerd/官方参考 https://docs.docker.com/registry/configuration/指定容器的网络连接类型，支持 bridge/host/none/container: 四种类型；阅读详情

提供：ZStack云计算

前言

Docker不仅是一个强大的服务器部署工具，而且它还有一个官方的Docker Hub registry用于储存Docker镜像。上传镜像到Docker Hub是免费的，上传的镜像文件同时也对公共领域开放，而这可能不是我们想要的。

本文介绍如何配置一个私有的Docker registry，在此上传的镜像是私密的，你可以从另一个联网的主机以安全的方式下载此registry上的镜像。

本文仅介绍registry的创建，而不讨论应用的容器化。有关Docker镜像创建的操作可参考这篇Docker入门文章。

本文在Ubuntu 14.04上实测通过，在其他Debian类系统上应该也可以通过。使用的Docker Registry版本为2.0版。

Docker基本概念

如果你此前尚未用过Docker，那么最好先花几分钟时间了解一下它的基本概念。如果你已经使用过Docker，只想了解建立私有registry部分的内容，则可跳过本小节。

Docker入门者可参阅这篇Docker Cheat Sheet。

Docker的核心理念是应用及其依赖项与其运行环境（操作系统）的分离，这种分离通过容器（containers）和镜像（images）来实现。一个Docker镜像本质上来说就是一个文件系统的模板，运行一个Docker镜像就是在你的系统上的一个Docker容器中运行该文件系统的一个实例。默认来说，该容器是不会接触到最初的那个镜像或者Docker运行环境所处的宿主机上的文件系统：该容器是完全独立的环境。

在容器内部操作进行的变更直接在容器中预存，而不会造成初始镜像的变更；要保存这些变更，需要通过docker commit指令将变更提交给指定的Docker镜像。也就是说，从一个旧的容器，你可以不断的生成新的容器，而旧的那个容器（镜像）永远也不会因为意外而被搞砸。该模式对于git用户而言应该非常眼熟，这相当于创建新的分支（git branch相当于Docker image），运行一个镜像相当于做一次git checkout。

运用同样的类比，一个私有Docker registry就相当于一个私有的git仓库。

准备工作

完成本教程需要如下准备工作：

两台Ubuntu 14.04的云主机，一台作为私有Docker registry服务器，一台作为Docker客户端。
两台服务器上都建立具有sudo权限的非root用户（用户建立教程可参考这篇文章）。
两台服务器上都安装Docker以及Docker Compose（安装教程见此）。
为私有Docker registry服务器配置好可供客户端访问的域名。

步骤1：安全加固

针对Docker Registry的安全加固，建议使用Docker Compose。如此，我们可以在一个容器内运行Docker Registry，而与外部的通讯安全则交给另一个容器内的Nginx来处理。我们在准备工作中应该已经安装过Docker Compose。

用Nginx来处理通讯安全，则需要将可访问私有registry的用户名和密码的列表保存到一个文件里以供Nginx读取。我们将安装apache2-utils软件包，该软件包下的htpasswd可以很方便的生成一个Nginx可读的密码哈希：

sudo apt-get -y install apache2-utils

步骤2：安装配置Docker Registry

如果你只需要管理一两个Docker容器，那么Docker命令行工具就足够好了。然而，大部分在容器内运行的应用并非是独立运作的，他们需要成组配合才能运行。比如，大部分Web应用都至少需要一个Web服务器用于托管应用代码、一个服务器用于运行PHP/Ruby on Rails等解释脚本语言、一台数据库服务器（如MySQL）。

Docker Compose可以让我们为每一个容器用一个.yml配置文件，该文件不仅可以指定容器的配置项，还可以写入有关该容器如何对外通讯的信息。docker-compose命令行工具可以对应用的各个组件下达指令。

Docker registry本身也是一个由多个组件组成的应用，因此我们将使用Docker Compose对其进行配置管理。

最简单的registry配置就是其存储数据的位置。让我们先来创建一个最基本的Docker Compose YAML文件。

首先，创建一个目录，用于储存本教程将要用到的一些文件：

mkdir ~/docker-registry && cd $_
mkdir data

在该目录下创建一个docker-compose.yml文件：

nano docker-compose.yml

将如下内容复制粘贴到该文件中：

registry:
  image: registry:2
  ports:
    - 127.0.0.1:5000:5000
  environment:
    REGISTRY_STORAGE_FILESYSTEM_ROOTDIRECTORY: /data
  volumes:
    - ./data:/data

注意这部分内容：environment: REGISTRY_STORAGE_FILESYSTEM_ROOTDIRECTORY: /data为Docker registry容器设置了一个环境变量路径/data，如此，Docker registry在启动时就会检查这个环境变量，从而将其数据保存到/data路径下。

最后的volumes: - ./data:/data这一段的意思是，容器内的/data路径应该映射到宿主机的./data路径，也就是说Docker registry的数据都会保存到宿主机的~/docker-registry/data目录下。

现在启动Docker Compose：

cd ~/docker-registry
docker-compose up

输入该命令后，你会看到一系列下载进度条，这些是Docker在从官方Registry下载Docker registry镜像文件的下载进度。如果一切顺利，下载应该在一两分钟内完成，最终呈现的输出应该是这样的：

registry_1 | time="2015-10-18T23:45:58Z" level=warning msg="No HTTP secret provided - generated random secret. This may cause problems with uploads if multiple registries are behind a load-balancer. To provide a shared secret, fill in http.secret in the configuration file or set the REGISTRY_HTTP_SECRET environment variable." instance.id=44c828de-c27a-401e-bb2e-38b17e6a4b7b version=v2.1.1
registry_1 | time="2015-10-18T23:45:58Z" level=info msg="redis not configured" instance.id=44c828de-c27a-401e-bb2e-38b17e6a4b7b version=v2.1.1
registry_1 | time="2015-10-18T23:45:58Z" level=info msg="using inmemory blob descriptor cache" instance.id=44c828de-c27a-401e-bb2e-38b17e6a4b7b version=v2.1.1
registry_1 | time="2015-10-18T23:45:58Z" level=info msg="listening on [::]:5000" instance.id=44c828de-c27a-401e-bb2e-38b17e6a4b7b version=v2.1.1
registry_1 | time="2015-10-18T23:45:58Z" level=info msg="Starting upload purge in 1m0s" instance.id=44c828de-c27a-401e-bb2e-38b17e6a4b7b version=v2.1.1

里面有一条No HTTP secret provided的警告信息，不用在意它。

至此，你的Docker registry已经在运行，监听端口为5000（这个端口可以在docker-compose.yml文件中的ports:部分设置）。不过这个registry现在还用处不大：一方面它需要手动启动，另一方面它还没设置任何身份验证机制所以并不安全。

默认状态下，Docker Compose会一直等待你输入指令。现在我们直接CTRL-C将其关闭退出。

步骤3：设置Nginx容器

现在来解决安全认证的问题。首先我们需要一个Nginx容器，再把它跟刚才的Docker registry容器连接起来。

创建一个新目录用于保存Nginx配置项：

mkdir ~/docker-registry/nginx

打开刚才的docker-compose.yml文件：

nano docker-compose.yml

将下面的内容复制粘贴到文件开头处：

nginx:
  image: "nginx:1.9"
  ports:
    - 5043:443
  links:
    - registry:registry
  volumes:
    - ./nginx/:/etc/nginx/conf.d:ro

这将基于官方Nginx镜像创建一个新的Docker容器。注意这里的links部分，这个功能可以自动建立两个容器之间的连接：当Nginx容器启动时，它将能够直接使用registry这个主机名访问registry容器（无论该容器的IP地址为何。其背后的机制其实是在nginx容器里面的/etc/hosts文件把registry容器的IP自动填写进去）。

volumes:部分跟上面一样，是容器内外路径的映射关系。末尾的:ro意思是只读，即该Nginx容器对宿主机文件系统只有只读权限。

到目前为止，完整的docker-compose.yml文件应该是这样的：

nginx:
  image: "nginx:1.9"
  ports:
    - 5043:443
  links:
    - registry:registry
  volumes:
    - ./nginx/:/etc/nginx/conf.d
registry:
  image: registry:2
  ports:
    - 127.0.0.1:5000:5000
  environment:
    REGISTRY_STORAGE_FILESYSTEM_ROOTDIRECTORY: /data
  volumes:
    - ./data:/data

现在如果再次运行docker-compose up，将会启动两个容器：一个Docker registry和一个Nginx。不过我们需要先配置好Nginx。创建一个新的Nginx配置文件registry.conf：

nano ~/docker-registry/nginx/registry.conf

将如下内容复制粘贴进去：

upstream docker-registry {
  server registry:5000;
}

server {
  listen 443;
  server_name myregistrydomain.com;

  # SSL
  # ssl on;
  # ssl_certificate /etc/nginx/conf.d/domain.crt;
  # ssl_certificate_key /etc/nginx/conf.d/domain.key;

  # disable any limits to avoid HTTP 413 for large image uploads
  client_max_body_size 0;

  # required to avoid HTTP 411: see Issue #1486 (https://github.com/docker/docker/issues/1486)
  chunked_transfer_encoding on;

  location /v2/ {
    # Do not allow connections from docker 1.5 and earlier
    # docker pre-1.6.0 did not properly set the user agent on ping, catch "Go *" user agents
    if ($http_user_agent ~ "^(docker\/1\.(3|4|5(?!\.[0-9]-dev))|Go ).*$" ) {
      return 404;
    }

    # To add basic authentication to v2 use auth_basic setting plus add_header
    # auth_basic "registry.localhost";
    # auth_basic_user_file /etc/nginx/conf.d/registry.password;
    # add_header 'Docker-Distribution-Api-Version' 'registry/2.0' always;

    proxy_pass                          http://docker-registry;
    proxy_set_header  Host              $http_host;   # required for docker client's sake
    proxy_set_header  X-Real-IP         $remote_addr; # pass on real client's IP
    proxy_set_header  X-Forwarded-For   $proxy_add_x_forwarded_for;
    proxy_set_header  X-Forwarded-Proto $scheme;
    proxy_read_timeout                  900;
  }
}

保存退出。现在可以启动Docker Compose了：

docker-compose up

Nginx在启动时没有输出信息，不过我们可以用curl来测试一下它是不是已经成功启动并连接至registry。首先用curl发送HTTP请求给registry：

curl http://localhost:5000/v2/

你应该能看到返回的结果——一个空json对象：

{}

现在再给Nginx端口发送HTTP请求：

curl http://localhost:5043/v2/

你应该看到同样的返回结果：

{}

如果一切顺利，在docker-compose的终端能看到如下的输出内容：

    registry_1 | time="2015-08-11T10:24:53.746529894Z" level=debug msg="authorizing request" environment=development http.request.host="localhost:5043" http.request.id=55c3e2a6-4f34-4b0b-bc57-11c814b4f4d3 http.request.method=GET http.request.remoteaddr=172.17.42.1 http.request.uri="/v2/" http.request.useragent="curl/7.35.0" instance.id=55634dfc-c9e0-4ec9-9872-6f4930c17759 service=registry version=v2.0.1
    registry_1 | time="2015-08-11T10:24:53.747650205Z" level=info msg="response completed" environment=development http.request.host="localhost:5043" http.request.id=55c3e2a6-4f34-4b0b-bc57-11c814b4f4d3 http.request.method=GET http.request.remoteaddr=172.17.42.1 http.request.uri="/v2/" http.request.useragent="curl/7.35.0" http.response.contenttype="application/json; charset=utf-8" http.response.duration=8.143193ms http.response.status=200 http.response.written=2 instance.id=55634dfc-c9e0-4ec9-9872-6f4930c17759 service=registry version=v2.0.1
    registry_1 | 172.17.0.21 - - [11/Aug/2015:10:24:53 +0000] "GET /v2/ HTTP/1.0" 200 2 "" "curl/7.35.0"
    nginx_1    | 172.17.42.1 - - [11/Aug/2015:10:24:53 +0000] "GET /v2/ HTTP/1.1" 200 2 "-" "curl/7.35.0" "-"

如果你看到registry_这样的前缀（后面的数字不一定是1），则说明一切正常，Nginx已经成功建立了到Docker registry的代理。

CTRL-C退出，准备进行下一步操作。

步骤4：设置验证信息

现在我们需要让Nginx验证访问Docker registry的用户权限。首先我们需要用htpasswd工具创建一个Apache格式的验证文件（Nginx也可以识别该文件）：

cd ~/docker-registry/nginx
htpasswd -c registry.password USERNAME

其中的USERNAME是你自己指定的用户名。指令输入后，命令行会请求为该用户建立一个密码。

如果以后要添加新用户，还是一样使用htpasswd工具，只是不用再输入-c选项了（c是新建的意思）：

htpasswd registry.password USERNAME

现在我们有了一个registry.password文件，里面保存了可以访问registry的用户名列表。这个文件是可以随时查看编辑的。

接下来需要让Nginx把这个文件用起来。还是打开~/docker-registry/nginx/registry.conf文件：

nano ~/docker-registry/nginx/registry.conf

找到下面这几行内容：

# To add basic authentication to v2 use auth_basic setting plus add_header
# auth_basic "registry.localhost";
# auth_basic_user_file /etc/nginx/conf.d/registry.password;
# add_header 'Docker-Distribution-Api-Version' 'registry/2.0' always;

将auth_basic和add_header这两行前面的井号去掉：

# To add basic authentication to v2 use auth_basic setting plus add_header
auth_basic "registry.localhost";
auth_basic_user_file /etc/nginx/conf.d/registry.password;
add_header 'Docker-Distribution-Api-Version' 'registry/2.0' always;

这样就启动了HTTP验证功能。保存退出，来把容器们启动起来看看：

cd ~/docker-registry
docker-compose up

还是用curl来给Nginx发送请求：

curl http://localhost:5043/v2/

这次的返回结果是一个验证失败的页面：

<html>
<head><title>401 Authorization Required</title></head>
<body bgcolor="white">
<center><h1>401 Authorization Required</h1></center>
<hr><center>nginx/1.9.7</center>
</body>
</html>

现在加上用户名和密码，再用curl发送一次请求：

curl http://USERNAME:PASSWORD@localhost:5043/v2/

这次，你应该能看到之前的返回结果——空json对象{}。在docker-compose的终端也能够看到registry_部分的内容。

CTRL-C退出，准备进行下一步。

步骤5：设置SSL

虽然已经有了基本的HTTP验证，但现在还是不够安全，因为连接是未加密的。我们需要把SSL启用起来。还是打开刚才的Nginx配置文件：

nano ~/docker-registry/nginx/registry.conf

找到如下内容：

server {
  listen 443;
  server_name myregistrydomain.com;

  # SSL
  # ssl on;
  # ssl_certificate /etc/nginx/conf.d/domain.crt;
  # ssl_certificate_key /etc/nginx/conf.d/domain.key;

把SSL以下的三行前面的井号删掉。不要忘了把server_name部分的值改成你的服务器域名：

server {
  listen 443;
  server_name myregistrydomain.com;

  # SSL
  ssl on;
  ssl_certificate /etc/nginx/conf.d/domain.crt;
  ssl_certificate_key /etc/nginx/conf.d/domain.key;

保存退出。Nginx将使用/etc/nginx/conf.d/domain.crt证书以及/etc/nginx/conf.d/domain.key密钥来提供SSL服务。根据之前的配置，容器内的/etc/nginx/conf.d/路径是映射到宿主机的~/docker-registry/nginx/路径下，所以我们需要把证书文件复制到这里。你可以购买证书，也可以获取一个免费的SSL证书。或者，你也可以使用自签名的SSL证书。

自签名的SSL证书

目前为止，Docker还无法正式支持自签名的SSL证书，所以这个配置起来要麻烦一些——我们需要将宿主机设置为证书的颁发机构。

到~/docker-registry/nginx目录下，创建一个新的root key：

cd ~/docker-registry/nginx
openssl genrsa -out devdockerCA.key 2048

生成一个root证书（需要填写国家省市信息之类的，这些可以随便填）：

openssl req -x509 -new -nodes -key devdockerCA.key -days 10000 -out devdockerCA.crt

然后，生成key（这个密钥就是上面需要用到的ssl_certificate_key）：

openssl genrsa -out domain.key 2048

然后，我们需要进行一个证书签名的请求。

输入如下命令。输入之后，OpenSSL会向你提出几个问题。其他问题怎么回答都好，不过关于"Common Name"这一项，务必要填写服务器的域名或IP：

openssl req -new -key domain.key -out dev-docker-registry.com.csr

比如，如果你的Docker registry使用的域名是www.ilovedocker.com，则需要这样填写：

Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:
Locality Name (eg, city) []:
Organization Name (eg, company) [Internet Widgits Pty Ltd]:
Organizational Unit Name (eg, section) []:
Common Name (e.g. server FQDN or YOUR name) []:www.ilovedocker.com
Email Address []:

Please enter the following 'extra' attributes
to be sent with your certificate request
A challenge password []:
An optional company name []:

A challenge password []:这里不要填。

然后，我们要给这个证书请求做签名：

openssl x509 -req -in dev-docker-registry.com.csr -CA devdockerCA.crt -CAkey devdockerCA.key -CAcreateserial -out domain.crt -days 10000

因为我们刚才生成的这些证书没有被任何权威机构（比如VeriSign）验证过，因此我们需要用另外的方法告诉所有使用这个Docker registry的客户端说，这个Docker registry使用的证书是合法的。这个方法就是，在每个Docker客户端上做如下设置（需要把刚才生成的devdockerCA.crt复制过去）：

sudo mkdir /usr/local/share/ca-certificates/docker-dev-cert
sudo cp devdockerCA.crt /usr/local/share/ca-certificates/docker-dev-cert
sudo update-ca-certificates

重启Docker守护进程以使该证书生效：

sudo service docker restart

详细配置过程见本文步骤9。上述指令在本机执行可直接生效。

步骤6：测试SSL

现在启动容器：

cd ~/docker-registry
docker-compose up

再做一次curl，但是用https（这里输入的域名或IP必须与刚才在证书生成过程中填写的Common Name部分完全一致）：

curl https://USERNAME:PASSWORD@[YOUR-DOMAIN]:5043/v2/

如果刚才用了自签名证书，你会看到如下问题报告：

curl: (60) SSL certificate problem: self signed certificate

为curl命令加上-k选项可以跳过该验证：

curl -k https://USERNAME:PASSWORD@[YOUR-DOMAIN]:5043/v2/

如此，应该可以得到空json对象{}的返回结果。docker-compose的终端窗口那边也会输出registry_部分内容。否则的话，则需要回去重新检查SSL设置的步骤。

至此，如果你的防火墙配置允许来自外部的请求访问5043端口，则你应该可以使用自己的用户名和密码通过docker login https://<YOURDOMAIN>登陆到该Docker registry上了。

步骤7：将SSL端口设置为443

443是标准的SSL端口，所以我们要把之前设置的5043改成443。不过在Linux上，1024以下的端口都是“特权”端口，所以docker-compose容器必须以root权限运行才能使用该端口。

打开docker-compose.yml进行编辑：

nano ~/docker-registry/docker-compose.yml

在Nginx部分的ports:段落，原本的内容是- 5043:443，即把宿主机的5043端口映射到Nginx容器的443端口。我们要把它改成- 443:443：

nginx:
  image: "nginx:1.9"
  ports:
    - 443:443
  links:
    - registry:registry
  volumes:
    - ./nginx/:/etc/nginx/conf.d:ro
registry:
  image: registry:2
  ports:
    - 127.0.0.1:5000:5000
  environment:
    REGISTRY_STORAGE_FILESYSTEM_ROOTDIRECTORY: /data
  volumes:
    - ./data:/data

CTRL-C退出之前运行的docker-compose（如果之前已经退出就无需进行此操作），然后以sudo权限再次启动：

sudo docker-compose up

现在docker-compose已经启动，再次使用curl命令来做一次测试。这次我们在URL中不再指定端口：

curl https://<YOURUSERNAME>:<YOURPASSWORD>@YOUR-DOMAIN/v2/

检查返回的结果是否为{}，docker-compose终端窗口的输出是否包含registry_。在外部的另一台机器上重复本操作，以确保Docker registry可以从外部访问。

如果一切正常，CTRL-C退出，准备进行下一步。

步骤8：将Docker Registry启动为服务

接下来我们创建一个Upstart脚本以使Docker registry在每次系统启动时一起启动。

首先我们需要移除之前已经生成的容器，好把整个Docker registry目录移动到系统通用目录下，再将其权限更改为root权限：

cd ~/docker-registry
docker-compose rm   # 移除现有的容器 
sudo mv ~/docker-registry /docker-registry
sudo chown -R root: /docker-registry

然后创建一个Upstart脚本：

sudo nano /etc/init/docker-registry.conf

将以下内容复制粘贴到文件中（该脚本内容有一些复杂，其说明可参考这篇博文。有关Upstart的用法可参考这篇教程。）：

description "Docker Registry"

start on runlevel [2345]
stop on runlevel [016]

respawn
respawn limit 10 5

chdir /docker-registry

exec /usr/local/bin/docker-compose up

现在用如下命令测试一下该Upstart脚本：

sudo service docker-registry start

返回的结果应该是这样的：

docker-registry start/running, process 25303

使用如下命令检查Docker服务是否已经在运行：

docker ps

返回的结果应该是这样的（其中包含dockerregistry_的项目）：

CONTAINER ID        IMAGE               COMMAND                CREATED             STATUS              PORTS                          NAMES
d4b6fef0b4d1        nginx:1.9           "nginx -g 'daemon of   2 minutes ago       Up 2 minutes        80/tcp, 0.0.0.0:443->443/tcp   dockerregistry_nginx_1
77668352bd39        registry:2          "registry cmd/regist   2 minutes ago       Up 2 minutes        127.0.0.1:5000->5000/tcp       dockerregistry_registry_1

Upstart会把docker-compose命令的输出都录入到/var/log/upstart/docker-registry.log日志文件中。用tail命令检查一下这个日志文件（需要使用sudo，因为upstart日志是以root用户写入的）：

sudo tail -f /var/log/upstart/docker-registry.log

里面应该能看到包含registry_的条目。再从本机的新终端窗口或另一台机器curl到registry服务器上：

curl https://<YOUR_USERNAME>:<YOURPASSWORD>@[YOUR-DOMAIN]/v2/

检查返回的结果是否为{}。日志文件中应该能看到跟之前一样的信息：

registry_1 | time="2015-08-12T08:01:12.241887501Z" level=debug msg="authorizing request" environment=development http.request.host=docker.meatflavoredbeer.com http.request.id=e8d69e16-9448-4c48-afd8-57b1f1302742 http.request.method=GET http.request.remoteaddr=106.1.247.4 http.request.uri="/v2/" http.request.useragent="curl/7.37.1" instance.id=14d4727b-fda1-463f-8d0e-181f4c70cb17 service=registry version=v2.0.1
registry_1 | time="2015-08-12T08:01:12.242206499Z" level=info msg="response completed" environment=development http.request.host=docker.meatflavoredbeer.com http.request.id=e8d69e16-9448-4c48-afd8-57b1f1302742 http.request.method=GET http.request.remoteaddr=106.1.247.4 http.request.uri="/v2/" http.request.useragent="curl/7.37.1" http.response.contenttype="application/json; charset=utf-8" http.response.duration=3.359883ms http.response.status=200 http.response.written=2 instance.id=14d4727b-fda1-463f-8d0e-181f4c70cb17 service=registry version=v2.0.1
registry_1 | 172.17.0.4 - - [12/Aug/2015:08:01:12 +0000] "GET /v2/ HTTP/1.0" 200 2 "" "curl/7.37.1"
nginx_1    | 106.1.247.4 - nik [12/Aug/2015:08:01:12 +0000] "GET /v2/ HTTP/1.1" 200 2 "-" "curl/7.37.1" "-"

步骤9：配置需要访问Docker Registry的客户端

如步骤5所述，对于使用自签名SSL证书的情况，所有需要访问该Docker registry的客户端都需要添加我们创建的证书。我们需要把~/docker-registry/nginx/devdockerCA.crt这个文件复制到客户端机器上。

首先在服务器上查看该证书文件：

sudo cat /docker-registry/nginx/devdockerCA.crt

文件内容差不多是这样的形式：

把证书内容复制到剪贴板上。

登陆到客户端机器，创建证书目录：

sudo mkdir /usr/local/share/ca-certificates/docker-dev-cert

再创建证书文件，使用同样的文件名devdockerCA.crt：

sudo nano /usr/local/share/ca-certificates/docker-dev-cert/devdockerCA.crt

将刚才复制到剪贴板上的内容粘贴进来。保存退出。再使用cat查看一下新创建的文件，检查内容是否正确：

cat /usr/local/share/ca-certificates/docker-dev-cert/devdockerCA.crt

确认无误后，更新证书信息：

sudo update-ca-certificates

返回的结果应该包含1 added信息：

Updating certificates in /etc/ssl/certs... 1 added, 0 removed; done.
Running hooks in /etc/ca-certificates/update.d....done.

重启Docker以重新加载系统CA证书列表：

sudo service docker restart

现在可以使用如下指令登入Docker registry了：

docker login https://YOUR-DOMAIN

服务器会要求你输入用户名、密码和Email。用户名和密码就是刚才在服务器上创建的，Email可以随便填：

Username: USERNAME
Password: PASSWORD
Email: 
Account created. Please see the documentation of the registry http://localhost:5000/v1/ for instructions how to activate it.

如果输入的信息无误，应该可以看到登陆成功的信息：

Login Succeeded

步骤10：将本机镜像发布到Docker Registry

我们先在客户端上创建一个简单的镜像（基于Docker Hub上的ubuntu镜像。如果本机上已经有镜像那就可以省去这一步了）：

docker run -t -i ubuntu /bin/bash

该指令会下载ubuntu镜像并运行其中的bash以等待我们给该容器输入指令，这可能需要一段时间。等等待输入的指令出现之后，我们来创建一个文件SUCCESS：

touch /SUCCESS

现在可以退出容器了：

exit

将变更后的镜像提交为test-image：

docker commit $(docker ps -lq) test-image

根据我们上面的操作，这个test-image镜像与官方ubuntu镜像相比，只是添加了一个空文件SUCCESS。

现在我们把这个测试镜像推送到registry。

登陆到registry服务器：

docker login https://YOUR-DOMAIN

输入用户名和密码：

Username: USERNAME
Password: PASSWORD
Email: 
Account created. Please see the documentation of the registry http://localhost:5000/v1/ for instructions how to activate it.

现在可以推送刚才的镜像。根据Docker的设计，我们推送之前，需要给它加一个tag用于标注registry的位置：

docker tag test-image [YOUR-DOMAIN]/test-image

这里需要注意的是，tag中的域名不需要https://，只需要域名、端口、加上镜像名称即可。

现在可以推送了：

docker push [YOUR-DOMAIN]/test-image

推送需要一段时间，完成后应该能看到如下内容：

latest: digest: sha256:5ea1cfb425544011a3198757f9c6b283fa209a928caabe56063f85f3402363b4 size: 8008

步骤11：从Docker Registry拉取镜像

现在测试从另一台机器拉取该镜像（我们也可以直接在registry服务器上进行本测试）。

登陆到registry服务器：

docker login https://[YOUR-DOMAIN]

使用刚才创建的tag拉取镜像：

docker pull [YOUR-DOMAIN]/test-image

Docker会下载该镜像。下载完成后，输入如下指令运行镜像以进入到里面：

docker run -t -i [YOUR-DOMAIN]/test-image /bin/bash

看看里面是不是有刚才创建的文件：

ls

应该可以看到SUCCESS文件出现在列表中：

SUCCESS  bin  boot  dev  etc  home  lib  lib64  media   mnt  opt  proc  root  run  sbin  srv  sys  tmp  usr  var

总结

至此，我们已经成功创建了一个私有Docker Registry服务器，并且完成了镜像的推送和拉取。现在可以尽情的玩弄你的Docker啦！

本文来源自DigitalOcean Community。英文原文：How To Set Up a Private Docker Registry on Ubuntu 14.04

翻译：lazycai

标签

#ubuntu #云计算 #服务器 #开放 #免费

在ubuntu14.04上构建docker私有镜像库构建docker私有镜像库环境准备Docker私有镜像库，分为服务端和客户端。服务端和客户端都要有docker环境。除此之外，服务端运行registry容器，完成镜像库的功能。客户端通过docekr pull、push等命令与服务端交互。环境说明如下表：对象版本 IP 备注服务端 Ubuntu 14.04 192.168.142.128 在此主机上搭建镜像库阅读详情