docker安全设置。

1.设置docker remote api访问进行证书认证。

mkdir /root/work
cd /root/work

#创建根证书RSA私钥,会要求输入密码
openssl genrsa -aes256 -out ca-key.pem 4096

#使用RSA私钥创建CA证书，会要求输入证书相关信息，根据提示输入
openssl req -new -x509 -days 1000 -key ca-key.pem -sha256 -out ca.pem

#创建服务端私钥
openssl genrsa -out server-key.pem 4096

#生成服务端证书签名请求(csr即certificate signing request，里面包含公钥与服务端信息)，会要求输入信息
openssl req -sha256 -new -key server-key.pem -out server.csr

#生成签名过的服务端证书（期间会要求输入前面的密码）
#此时生成的server-cert.pem文件就是已盖章生效的服务端证书
openssl x509 -req -days 1000 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem


#生成客户私钥
openssl genrsa -out key.pem 4096

#生成客户端证书签名请求
openssl req -new -key key.pem -out client.csr

#生成名为extfile.cnf的配置文件
echo extendedKeyUsage=clientAuth > extfile.cnf

#生成签名过的客户端证书（期间会要求输入前面的密码）
openssl x509 -req -days 1000 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out cert.pem -extfile extfile.cnf

#将多余的文件删除
rm -rf ca.srl client.csr extfile.cnf server.csr

chmod -v 0400 ca-key.pem key.pem server-key.pem
chmod -v 0444 ca.pem server-cert.pem cert.pem

2.修改ExecStart配置

vim /lib/systemd/system/docker.service

ExecStart=/usr/bin/dockerd -H unix:///var/run/docker.sock -D -H tcp://0.0.0.0:2375 --tlsverify --tlscacert=/root/work/ca.pem --tlscert=/root/work/server-cert.pem --tlskey=/root/work/server-key.pem

docker.service完整设置

[Unit]
Description=Docker Application Container Engine
Documentation=http://docs.docker.com
After=network.target
Wants=docker-storage-setup.service
Requires=docker-cleanup.timer

[Service]
Type=notify
NotifyAccess=main
EnvironmentFile=-/run/containers/registries.conf
EnvironmentFile=-/etc/sysconfig/docker
EnvironmentFile=-/etc/sysconfig/docker-storage
EnvironmentFile=-/etc/sysconfig/docker-network
Environment=GOTRACEBACK=crash
Environment=DOCKER_HTTP_HOST_COMPAT=1
Environment=PATH=/usr/libexec/docker:/usr/bin:/usr/sbin
ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:2375 -H unix://var/run/docker.sock \
          --tlsverify --tlscacert=/root/work/ca.pem --tlscert=/root/work/server-cert.pem --tlskey=/root/work/server-key.pem \
          --exec-opt native.cgroupdriver=systemd
ExecReload=/bin/kill -s HUP $MAINPID
LimitNOFILE=1048576
LimitNPROC=1048576
LimitCORE=infinity
TimeoutStartSec=0
Restart=on-abnormal
KillMode=process

[Install]
WantedBy=multi-user.target

3.加载配置并重启docker服务：systemctl daemon-reload && systemctl restart docker