程序员都在学的docker--docker安全TLS验证（ca证书、服务端证书、客户端证书）

最新推荐文章于 2023-07-05 17:19:51 发布
最新推荐文章于 2023-07-05 17:19:51 发布
阅读量1.5k 收藏 4
点赞数 3
分类专栏： TLS 文章标签： docker tls docker安全
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/kimowinter/article/details/108974244
版权

文章目录

一、 Docker-TLS加密通讯

1.1 TLS介绍

TLS （Transport Layer Security）指传输层安全，是解决网络安全的重量级武器。传输层安全最早由网景公司所开发，那时的名字还不叫TLS，而是SSL（Secure Sockets Layer），即安全套接字层。

TLS 加密通讯：
为了防止链路劫持、会话劫持等问题导致 Docker 通信时被中间人攻击，C/S 两端应该通过加密方式通讯。

TLS协议的优势：
TLS协议的优势是与高层的应用层协议（如HTTP、FTP、Telnet等）无耦合。应用层协议能透明地运行在TLS协议之上，由TLS协议进行创建加密通道需要的协商和认证。应用层协议传送的数据在通过TLS协议时都会被加密，从而保证通信的私密性

1.2 CA证书

证书颁发机构（CA, Certificate Authority）即颁发数字证书的机构。是负责发放和管理数字证书的权威机构，并作为电子商务交易中受信任的第三方，承担公钥体系中公钥的合法性检验的责任。

CA 证书颁发的时候，证书中是包含密钥对的，同时用户信息也是进行加密的，所以CA颁发的证书具有两个特点：用户发送的信息都是加密的；身份的唯一性。

证书创建流程

创建证书有三步
1.设置私钥 确保安全加密
2.私钥签名 确保身份真实不可抵赖
3.制作证书

  • 服务端：ca密钥(ca-key.pem) ----》ca证书 (ca.pem )
    ----》服务器私钥（server-key.pem）----》服务器私钥签名（server.csr）----》最后通过ca密钥、ca证书、服务端私钥签名-生成服务端证书（server-cert.pem）

  • 客户端 ：私钥（key.pem ）----》私钥签名（client.csr）----》ca 密钥----》ca密钥证书----》客户端签名证书（cert.pem）

  • 服务端签名证书server-cert.pem----（ca 密钥 、 ca 证书、服务端签名）

  • 客户端签名证书cert.pem --------(ca 密钥 、 ca 证书、服务端签名)

二、 TLS加密通讯实操

实验目的

通过创建证书实现容器之间的安全通信

实验环境

VMware中两台centos7虚拟机，虚拟机部署docker环境

实验参数

主机名IP地址
master14.0.0.110
client14.0.0.107

实验过程

1. 修改主机的前置环境

master主机的前置环境

[root@localhost ~]# mkdir tls
[root@localhost ~]# cd tls/
[root@localhost tls]# hostnamectl set-hostname master   ##设置主机名为master
[root@localhost tls]# su
[root@master tls]# vim /etc/hosts    ##写入hosts文件，便于解析
127.0.0.1 master

client主机的前置环境

[root@localhost ~]# hostnamectl set-hostname client    ##设置主机名为client
[root@localhost ~]# su
[root@client ~]# vim /etc/hosts    ##将master的主机名和IP对应关系写入hosts文件
14.0.0.110 master

2. 创建ca证书密钥

ca证书是所有一切证书的根本，也是根证书

创建ca证书秘钥  有了ca秘钥就可以创建证书了
[root@master tls]# openssl genrsa -aes256 -out ca-key.pem 4096	     ##使用rsa非对称秘钥，位数256位，-out 输出密钥文件ca-key.pem
Enter pass phrase for ca-key.pem:	             ##输入自定义密码123123
Verifying - Enter pass phrase for ca-key.pem:	 ##输入自定义密码123123
  aes：表示一个对称加密的一种形式
  out：表示输出
  .pem：表示一个证书
[root@master tls]# ls
ca-key.pem

3. 创建ca证书

[root@master tls]# openssl req -new -x509 -days 1000 -key ca-key.pem -sha256 -subj "/CN=*" -out ca.pem
Enter pass phrase for ca-key.pem:	##输入CA秘钥密码123123就是秘钥的密码
    req                             ##签名
   -new -x509                       ##使用国际标准x509
   -days 1000                       ##证书有效期
   -key ca-key.pem                  ##指定证书名字
   -sha256                          ##指定哈希256位加密算法
   -out ca.pem                      ##输出证书  名字ca.pam
   -subj "/CN=*"                    ##项目名称
[root@master tls]# ls
ca-key.pem  ca.pem

4. 创建服务端私钥

[root@master tls]# openssl genrsa -out server-key.pem 4096
    genrsa     ##非对称秘钥  
    -out       ##输出名字
[root@master tls]# ls
ca-key.pem  ca.pem  server-key.pem

5. 给服务端私钥签名

[root@master tls]# openssl req -subj "/CN=*" -sha256 -new -key server-key.pem -out server.csr
 req                              ##签名
-subj "/CN=*"                     ##项目名称
 -sha256                          ##哈希256位加密算法
-new -key server-key.pem          ##指定服务器私钥文件名
-out server.csr                   ##前名后为.csr文件
[root@master tls]# ls
ca-key.pem  ca.pem  server.csr  server-key.pem

6. 使用ca证书与私钥证书签名

这时候生成的服务端证书就是最完整的服务端证书

[root@master tls]# openssl x509 -req -days 1000 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem
Signature ok
subject=/CN=*
Getting CA Private Key
Enter pass phrase for ca-key.pem:     ##输入密码123123
 x509                          ##国际协议标准
-req                           ##签名   
-days 1000 -sha256             ##有效时间1000天  用哈希算法    
-in server.csr                 ##在服务器私钥     
-CA ca.pem -CAkey ca-key.pem   ##指定ca秘钥和ca证书  
[root@master tls]# ls
ca-key.pem  ca.pem  ca.srl  server-cert.pem  server.csr  server-key.pem

7. 生成客户私钥

[root@master tls]#  openssl genrsa -out key.pem 4096
Generating RSA private key, 4096 bit long modulus
....................++
..................................................++
e is 65537 (0x10001)
[root@master tls]# ls
ca-key.pem  ca.srl      key.pem          server.csr
ca.pem      server-cert.pem  server-key.pem

8. 给客户端证书签名

[root@master tls]# openssl req -subj "/CN=clinet" -new -key key.pem -out client.csr
[root@master tls]# ls
ca-key.pem  ca.srl      key.pem          server.csr
ca.pem      client.csr  server-cert.pem  server-key.pem

9. 创建配置文件

echo extendedKeyUsage=clientAuth > extfile.cnf

扩展性的秘钥验证使用客户端验证这边连接时候输入密码验证

10. 创建客户端证书

[root@master tls]# openssl x509 -req -days 1000 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out cert.pem -extfile extfile.cnf
Signature ok
subject=/CN=clinet
Getting CA Private Key
Enter pass phrase for ca-key.pem:     ##输入密码123123
[root@master tls]# ls
ca-key.pem  ca.srl    client.csr   key.pem          server.csr
ca.pem      cert.pem  extfile.cnf  server-cert.pem  server-key.pem

11. 整理证书

删除多余文件（这些都是制作的材料，认证过程中没有作用）

extfile.cnf 这个文件之所以被删除是因为再上一步产生证书的过程中已经使用过，之后不需要用到。

[root@master tls]# rm -rf ca.srl client.csr extfile.cnf server.csr 
[root@master tls]# ls
ca-key.pem  ca.pem  cert.pem  key.pem  server-cert.pem  server-key.pem

此时还剩下以下文件
ca.pem CA机构证书
ca-key.pem 根证书RSA私钥
cert.pem 客户端证书
key.pem 客户私钥
server-cert.pem 服务端证书
server-key.pem 服务端私钥

12. 配置docker

[root@master tls]#  vim /lib/systemd/system/docker.service
14行   原来的注释掉  换成下面的
ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/root/tls/ca.pem --tlscert=/root/tls/server-cert.pem --tlskey=/root/tls/server-key.pem -H tcp://0.0.0.0:2376 -H unix:///var/run/docker.sock
其中：
--tlscacert=/root/tls/ca.pem             ##指定ca证书路径
--tlscert=/root/tls/server-cert.pem      ##指定服务端证书位置
--tlskey=/root/tls/server-key.pem        ##指定服务端私钥位置

重载配置文件，重启服务

[root@master tls]# systemctl daemon-reload
[root@master tls]# systemctl restart docker

13. 传输证书，进行验证

[root@master tls]# systemctl stop firewalld.service 
[root@master tls]# setenforce 0
[root@master tls]# scp ca.pem root@14.0.0.107:/etc/docker/
[root@master tls]# scp cert.pem root@14.0.0.107:/etc/docker/
[root@master tls]# scp key.pem root@14.0.0.107:/etc/docker/

再client端进行验证

[root@client docker]# systemctl stop firewalld.service 
[root@client docker]# setenforce 0
[root@client ~]# cd /etc/docker/
[root@client docker]# docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H tcp://master:2376 version
Client: Docker Engine - Community
 Version:           19.03.13
 API version:       1.40
 Go version:        go1.13.15
 Git commit:        4484c46d9d
 Built:             Wed Sep 16 17:03:45 2020
 OS/Arch:           linux/amd64
 Experimental:      false

Server: Docker Engine - Community
 Engine:
  Version:          19.03.13
  API version:      1.40 (minimum version 1.12)
  Go version:       go1.13.15
  Git commit:       4484c46d9d
  Built:            Wed Sep 16 17:02:21 2020
  OS/Arch:          linux/amd64
  Experimental:     false
 containerd:
  Version:          1.3.7
  GitCommit:        8fba4e9a7d01810a393d5d25a3621dc101981175
 runc:
  Version:          1.0.0-rc10
  GitCommit:        dc9208a3303feef5b3839f4323d9beb36df0a9dd
 docker-init:
  Version:          0.18.0
  GitCommit:        fec3683
wo有点烦
关注
  • 3
    点赞
  • 踩
  • 4
    收藏
    觉得还不错? 一键收藏
  • 1
    评论
专栏目录
docker-compose安装包
12-19
Docker-Compose项目是Docker官方的开源项目，负责实现对Docker容器集群的快速编排。 Docker-Compose将所管理的容器分为三层，分别是工程（project），服务（service）以及容器（container）。Docker-Compose运行目录...
Docker开启并配置远程安全访问_docker开启远程访问
m0_60635176的博客
04-07 1136
外链图片转存中…(img-7BC1fVCo-1712487763996)]
docker引擎开启TLS双向认证
qq_21442867的博客
07-07 977
文章目录0 环境信息1 创建CA证书1.1 创建CA私钥1.2 生成CA证书2 用ca 证书签发服务端 证书3 为docker引擎部署服务端证书5 用ca 证书签发客户端证书：6 验证 tls 证书7 补充 0 环境信息 docker 引擎服务端 192.168.3.16 docker 客户端 192.168.3.14 docker 版本 19.03.9 1 创建CA证书 1.1 创建CA私钥 可在任意一个可以使用 openssl 命令行工具的操作系统 创建证书相关的文件 创建一个
docker——tls（ssl）加密通信
Yusheng9527的博客
03-16 1886
docker——tls（ssl）加密通信DockerClient端与DockerDaemon的通信安全（https证书）背景使用证书访问的工作流程部署思路证书创建过程环境准备创建一个存放目录生成ca证书1）创建ca私钥2）创建ca证书用ca证书签发server端证书1）创建服务器私钥2）生成证书签名请求文件（csr文件）3）使用ca证书与私钥证书签发服务端签名证书用ca证证书签发client端证书1）生成客户端私钥2）生成证书签名请求文件3）创建扩展配置文件，使秘钥适合客户端身份验证4）使用ca证书签发客户
Docker安全配置及Docker-TLS加密
kele_baba
08-05 1649
Docker安全配置一、Docker 容器与虚拟机的区别1、隔离与共享2、性能与损耗二、Docker 存在的安全问题1、Docker 自身漏洞2、Docker 源码问题三、Docker 架构缺陷1、容器之间的局域网攻击2、DDoS 攻击耗尽资源3、有漏洞的系统调用4、共享root用户权限四、Docker 安全基线标准1、内核级别2、主机级别3、网络级别4、镜像级别5、容器级别6、其他设置五、部分安全操作1、容器最小化2、Docker remote api 访问控制4、镜像安全5、Docker-TLS加密通讯
【Docker】TLS 认证
记录了，但是完全不会。
07-05 648
使用脚本快速创建TLS证书并部署到Docker服务，解决2375端口引发的安全漏洞。
长文详解！Docker客户端与服务端TLS认证（Docker Remote API认证）
董哥的黑板报
07-28 4662
一、Docker Remote API的认证 在前一篇文章我们介绍了Docker Remote API如何使用：https://blog.csdn.net/qq_41453285/article/details/107642615 在前一篇文章中我们介绍了如何连接到Docker Remote API，但是不意味着任何其他人都能连接到同样的API。从安全的角度上看，这存在一点儿安全问题。不过值得感谢的是，自Docker的0.9版本开始Docker Remote API开始提供了认证机制。这种认证机制采用了
docker-compose-maven-plugin：使用Maven运行docker-compose
02-03
Docker Compose Maven插件 ... < artifactId>docker-compose-maven-plugin $VERSION 关于 Maven插件，用于通过Maven运行基本的docker-compose命令。 它可以用作Maven生命周期的一部分，也可以用作将do
Ubuntu docker 20.10.12版本和docker-compose离线安装包
06-21
通过一个YAML文件（通常命名为`docker-compose.yml`），你可以定义服务、网络和卷，然后使用`docker-compose up`命令来启动所有配置的服务。在压缩包中： 4. `docker-compose-linux-x86_64`：这是一个可执行文件，...
docker-compose v2.5.0版本安装包
05-06
内含两个文件，一个是二进制程序包，一个是install.sh安装脚本。...（你也可以自行去github上面下载最新的docker-compose的二进制包，但是这将浪费你半个小时的时间，然后还要自己安装。所以1.9元交个朋友）
docker 20.10.9 - docker-compose 1.24 离线安装包加安装一键式脚本
12-19
docker 20.10.9 | docker-compose 1.24 离线安装包加安装一键式脚本
docker-compose-linux-x86-64-v2.15.1
02-03
linux安装docker-compose-linux-x86_64-v2.15.1版本 使用方法： chmod +x docker-compose-linux-x86-64-v2.15.1 mv docker-compose-linux-x86-64-v2.15.1 /usr/local/bin/docker-compose 验证： docker-compose ...
docker-ce-26.1.0使用yum安装包
最新发布
04-27
说明：在最小化CentOS Linux release 7.6.1810 中制作yum源，docker-ce是centos 7系统x86架构rpm包。 使用： 1、上传文件到/data/docker-ce解压，或者任意目录后修改docker-ce-26.1.0.repo 中baseurl路径。 2、mv ...
docker-compose-ui：Docker Compose的Web界面
02-02
它是什么Docker Compose UI是Docker Compose的Web...compose-ui \-p 5000:5000 \-w /opt/docker-compose-projects/ \-v /var/run/docker.sock:/var/run/docker.sock \francescou/docker-compose-ui:1.13.0您必须等待Doc
最新版本docker-compose v2.10.2
08-30
解决不支持docker-compose命令的问题，而从gihub下载缓慢，适用于x87_64的linux系统，
Docker高级应用之远程TLS管理（安全认证）步骤详细简单易懂
chenchen的博客
12-03 1167
目录一、TLS简介二、Docker 容器与虚拟机的区别三、Docker 存在的安全问题 一、TLS简介 TLS（Transport Layer Security，安全传输层)，TLS是建立在传输层TCP协议之上的协议，服务于应用层，它的前身是SSL（Secure Socket Layer，安全套接字层），它实现了将应用层的报文进行加密后再交由TCP进行传输的功能。 TLS协议具备三大特性：保密性（数据都是加密传输，预防第三方嗅探）、数据完整性（基于MAC校验机制）、双向认证支持（避免身份被冒充） 在doc
OpenSSL 3.0 RSA
钞sir的博客
06-18 2861
心声安葬在岩洞 上帝四次三番再愚弄
为 Docker 配置 TLS
贝克街的流浪猫
04-03 1034
引言 Docker 默认通过 Unix Socket 对外提供接口，也支持 HTTP 的方式，后者允许我们能够在本地控制远程服务器中的 Docker。如果你想让远程服务器中的 Docker 以安全的方式被访问，可为其配置 TLS，做到服务端和客户端的双向验证。本文由我的同事 @like 投稿，其中总结了他在配置 Docker TLS 过程中的实践经验。 安装 cfssl 这里我们使用 CloudFlare 的 PKI 工具集 cfssl 来创建证书。 安装 cfssl、cfssljson 以及 cfssl
docker安全通信 TLS介绍及配置
zhang_yazhou的博客
09-29 292
安全通信 TLS 生产环境 文章目录安全通信 TLS 生产环境一、认识TLS协议【1】TLS的介绍【2】SSL的介绍【3】TLS算法（1）密钥交换和密钥协商（2）TLS加密的更新二、docker安全通信的配置【1】docker-tls加密通讯【2】创建ca秘钥【3】创建ca证书【4】创建服务器私钥【5】签名私钥【6】使用ca证书与私钥证书签名，输入123123【7】生成客户端秘钥【8】签名客户端【9】创建配置文件【10】签名证书，输入123123，需要（签名客户端，ca证书，ca秘钥）【11】删除多余文件【
评论 1
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值