Docker开启TLS认证

变更内容：修复Docker远程API调用漏洞，启用TLS认证

1、执行脚本生成证书文件

cat cert.sh
#创建 Docker TLS 证书
#!/bin/bash
 
#相关配置信息:
SERVER=${HOSTNAME}
PASSWORD="Zetyun@3"
COUNTRY="CN"
STATE="上海"
CITY="上海"
ORGANIZATION="zetyun"
ORGANIZATIONAL_UNIT="zetyun"
EMAIL="zetyun@163.com"
 
###开始生成文件###
echo "开始生成文件"
 
#切换到生产密钥的目录
CERTDIR=/etc/docker/cert
if [ ! -d $CERTDIR  ];then
  mkdir -p $CERTDIR
else
  cd $CERTDIR
fi
 
cd $CERTDIR
#生成ca私钥(使用aes256加密)
openssl genrsa -aes256 -passout pass:$PASSWORD  -out ca-key.pem 4096
echo "生成ca私钥完成"
 
#生成ca证书，填写配置信息
openssl req -new -x509 -passin "pass:$PASSWORD" -days 3650 -key ca-key.pem -sha256 -out ca.pem -subj "/C=$COUNTRY/ST=$STATE/L=$CITY/O=$ORGANIZATION/OU=$ORGANIZATIONAL_UNIT/CN=$SERVER/emailAddress=$EMAIL"
echo "填写配信息完成"
 
#生成server证书私钥文件
openssl genrsa -out server-key.pem 4096
#生成server证书请求文件
openssl req -subj "/CN=$SERVER" -sha256 -new -key server-key.pem -out server.csr
echo "生成server证书完成"

echo subjectAltName = DNS:$HOSTNAME,IP:127.0.0.1 >> extfile.cnf
#这里需要注意,可以把集群内所有IP地址以IP:xxx,IP:xxx的格式添加进去
echo extendedKeyUsage = serverAuth >> extfile.cnf 
 
#使用CA证书及CA密钥以及上面的server证书请求文件进行签发，生成server自签证书
openssl x509 -req -days 3650 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -passin "pass:$PASSWORD"  -CAcreateserial -out server-cert.pem -extfile extfile.cnf
 
 
echo "生成自签证书完成"
 
 
#生成client证书RSA私钥文件
openssl genrsa -out key.pem 4096
#生成client证书请求文件
openssl req -subj '/CN=client' -new -key key.pem -out client.csr
echo "生成clieen请求文件完成"
 
sh -c 'echo "extendedKeyUsage=clientAuth" > extfile-client.cnf'
#生成client自签证书（根据上面的client私钥文件、client证书请求文件生成）
openssl x509 -req -days 3650 -in client.csr -CA ca.pem -CAkey ca-key.pem  -passin "pass:$PASSWORD" -CAcreateserial -out cert.pem  -extfile extfile-client.cnf
echo "生成client自签证书完成"
 
rm -v client.csr server.csr
echo "删除无用的文件" 
#更改密钥权限
chmod 0400 ca-key.pem key.pem server-key.pem
#更改密钥权限
chmod 0444 ca.pem server-cert.pem cert.pem
 
echo "生成文件完成"
###生成结束###

#执行脚本：
sh cert.sh

2、修改docker配置添加证书

vim /lib/systemd/system/docker.service
ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:5555 -H unix:///var/run/docker.sock --tlsverify --tlscacert=/etc/docker/cert/ca.pem --tlscert=/etc/docker/cert/server-cert.pem --tlskey=/etc/docker/cert/server-key.pem

3、重启docker

systemctl daemon-reload
systemctl restart docker
systemctl status docker

4、验证

【验证不使用证书】
docker -H 172.20.9.99:5555  ps
docker -H 172.20.9.99:5555 --tlsverify ps

【使用证书验证】
拷贝证书：
cp /etc/docker/cert/*.pem ~/.docker/
成功执行：
docker -H 172.20.9.99:5555 --tlsverify ps

如果不拷贝证书到~/.docker/,可以在命令中指定证书位置：
docker -H 172.20.9.99:5555 --tlsverify --tlscacert=/etc/docker/cert/ca.pem --tlscert=/etc/docker/cert/server-cert.pem --tlskey=/etc/docker/cert/server-key.pem ps