docker 生成TLS认证证书

 

公司的docker认证证书过期了,度娘出来的资料有点问题,可能是环境不同,随手记录下

一,先确保自己环境的openssl可用,具体自行百度.

二,修改相关配置信息 

SERVER="127.0.0.1"
PASSWORD="123456"
EMAIL="123@163.com"

修改文件保存地址

#切换到生产密钥的目录
CERTDIR=/data/cert/docker

创建一个.sh文件,将下面脚本拷贝进去

#创建 Docker TLS 证书
#!/bin/bash

#相关配置信息:
SERVER="127.0.0.1"
PASSWORD="123456"
COUNTRY="CN"
STATE="浙江省"
CITY="杭州市"
ORGANIZATION="本地测试"
ORGANIZATIONAL_UNIT="Dev"
EMAIL="123@163.com"

###开始生成文件###
echo "开始生成文件"

#切换到生产密钥的目录
CERTDIR=/data/cert/docker
if [ ! -d $CERTDIR  ];then
  mkdir -p $CERTDIR
else
  cd $CERTDIR
fi

cd $CERTDIR
#生成ca私钥(使用aes256加密)
openssl genrsa -aes256 -passout pass:$PASSWORD  -out ca-key.pem 4096
echo "生成ca私钥完成"

#生成ca证书，填写配置信息
openssl req -new -x509 -passin "pass:$PASSWORD" -days 3650 -key ca-key.pem -sha256 -out ca.pem -subj "/C=$COUNTRY/ST=$STATE/L=$CITY/O=$ORGANIZATION/OU=$ORGANIZATIONAL_UNIT/CN=$SERVER/emailAddress=$EMAIL"
echo "填写配信息完成"

#生成server证书私钥文件
openssl genrsa -out server-key.pem 4096
#生成server证书请求文件
openssl req -subj "/CN=$SERVER" -sha256 -new -key server-key.pem -out server.csr
echo "生成server证书完成"


#使用CA证书及CA密钥以及上面的server证书请求文件进行签发，生成server自签证书
openssl x509 -req -days 1000 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -passin "pass:$PASSWORD"  -CAcreateserial -out server-cert.pem


echo "生成自签证书完成"


#生成client证书RSA私钥文件
openssl genrsa -out key.pem 4096
#生成client证书请求文件
openssl req -subj '/CN=client' -new -key key.pem -out client.csr
echo "生成clieen请求文件完成"

sh -c 'echo "extendedKeyUsage=clientAuth" > extfile-client.cnf'
#生成client自签证书（根据上面的client私钥文件、client证书请求文件生成）
openssl x509 -req -days 3650 -in client.csr -CA ca.pem -CAkey ca-key.pem  -passin "pass:$PASSWORD" -CAcreateserial -out cert.pem  -extfile extfile-client.cnf
echo "生成client自签证书完成"

rm -v client.csr server.csr
echo "删除无用的文件" 
#更改密钥权限
chmod 0400 ca-key.pem key.pem server-key.pem
#更改密钥权限
chmod 0444 ca.pem server-cert.pem cert.pem

echo "生成文件完成"
###生成结束###

 注意这个地方,百度出来加了这个参数 -extfile extfile.cnf ,导致一直生成失败,可以选择注掉

#openssl x509 -req -days 365 -in server.csr -CA ca.pem -CAkey ca-key.pem -passin "pass:$PASSWORD" -CAcreateserial  -out server-cert.pem  -extfile extfile.cnf

三,执行脚本生成相应的证书

./cert.sh  或 sh cert.sh

 

四,修改docker.service文件

• 执行命令 systemctl status docker 查看docker.service文件路径
• 编辑 docker.service 文件，添加证书

 

  --tlsverify \
  --tlscacert=/证书地址/ca.pem \ 
  --tlscert=/证书地址/server-cert.pem \          
  --tlskey=/证书地址/server-key.pem \     
  -H tcp://0.0.0.0:2376 \    
  -H unix:///var/run/docker.sock 

 PS:参考自 创建Docker TLS 证书_FlonChou的博客-CSDN博客

 五,重启docker

systemctl daemon-reload
systemctl restart docker

六,拷贝ca.pem、ca-key.pem、cert.pem、key.pem四个文件到客户端应用服务器 

<properties>
    <docker.host>https://127.0.0.1:2376</docker.host>
    <docker.dir>/Users/apple/docker-cert-test</docker.dir>
</properties>

 

七,使用docker-maven-plugin  连接远程docker,构建镜像

            <!-- docker-maven-plugin 构建镜像上传至云服务器 -->
            <plugin>
                <groupId>com.spotify</groupId>
                <artifactId>docker-maven-plugin</artifactId>
                <!--执行mvn package,即执行 mvn clean package docker:build-->
                <executions>
                    <execution>
                        <id>build-image</id>
                        <phase>package</phase>
                        <goals>
                            <goal>build</goal>
                        </goals>
                    </execution>
                </executions>

                <configuration>
                    <!-- 镜像名称 -->
                    <imageName>${build.finalName}</imageName>
                    <!-- 指定标签 -->
                    <imageTags>
                        <imageTag>latest</imageTag>
                    </imageTags>
                    <!-- 基础镜像-->
                    <baseImage>2595954688/dz_font_java8</baseImage>

                    <!-- 切换到容器工作目录-->
                    <workdir>/</workdir>

                    <entryPoint>["java","-jar","${project.build.finalName}.jar"]</entryPoint>

                    <!-- 指定远程 Docker API地址  -->
                    <dockerHost>${docker.host}</dockerHost>
                    <!-- 指定tls证书的目录 -->
                    <dockerCertPath>${docker.dir}</dockerCertPath>

                    <!-- 复制 jar包到docker容器指定目录-->
                    <resources>
                        <resource>
                            <targetPath>/</targetPath>
                            <!-- 用于指定需要复制的根目录，${project.build.directory}表示target目录 -->
                            <directory>${project.build.directory}</directory>
                            <!-- 用于指定需要复制的文件，${project.build.finalName}.jar就是打包后的target目录下的jar包名称　-->
                            <include>${project.build.finalName}.jar</include>
                        </resource>
                    </resources>
                </configuration>
            </plugin>