Docker CA认证和idea中使用

最新推荐文章于 2024-02-21 21:14:39 发布
最新推荐文章于 2024-02-21 21:14:39 发布
阅读量584 收藏 3
点赞数 2
文章标签： docker
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_46126559/article/details/118373855
版权

文章目录

Docker CA认证

因为docker默认是root权限的，你把2375端口暴露在外面，意味着别人随时都可以提取到你服务器的root权限，是很容易被黑客黑的，因此,docker官方推荐使用加密的tcp连接，以Https的方式与客户端建立连接

官网文档

创建ca文件夹，存放CA私钥和公钥

$ mkdir -p /usr/local/ca
$ cd /usr/local/ca/

创建密码

需要连续输入两次相同的密码

$ openssl genrsa -aes256 -out ca-key.pem 4096

Generating RSA private key, 4096 bit long modulus (2 primes)
................................................................................................................................................................................................................++++
.......................................................................................++++
e is 65537 (0x010001)
Enter pass phrase for ca-key.pem: # 第一次密码
Verifying - Enter pass phrase for ca-key.pem: # 第二次密码

依次输入密码、国家、省、市、组织名称等

$ openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

Enter pass phrase for ca-key.pem: # 输入密码
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:CH # 国家的名字
State or Province Name (full name) []:ah # 州或省名称
Locality Name (eg, city) [Default City]:cz # 地区名称（例如，城市）
Organization Name (eg, company) [Default Company Ltd]:chnllc # 组织名称（例如，公司）
Organizational Unit Name (eg, section) []:abc # 组织单位名称
Common Name (eg, your name or your server's hostname) []:chnllc # 通用名称 服务器名
Email Address []:chnllc@qq.com # 电子邮件地址

现在您有了 CA，您可以创建服务器密钥和证书签名请求 (CSR)。确保“Common Name”与您用于连接到 Docker 的主机名匹配：

生成server-key.pem

$ openssl genrsa -out server-key.pem 4096

Generating RSA private key, 4096 bit long modulus (2 primes)
.........................................................................................................++++
.........................++++
e is 65537 (0x010001)

把下面的$Host换成你自己服务器外网的IP或者域名

openssl req -subj "/CN=$HOST" -sha256 -new -key server-key.pem -out server.csr
比如
openssl req -subj "/CN=192.168.1.106" -sha256 -new -key server-key.pem -out server.csr
或
openssl req -subj "/CN=www.baidu.com" -sha256 -new -key server-key.pem -out server.csr

$ openssl req -subj "/CN=$HOST" -sha256 -new -key server-key.pem -out server.csr

配置白名单

也就是你接下来要允许那些ip可以连接到服务器的docker，因为已经是ssl连接，所以我推荐配置0.0.0.0,也就是所有ip都可以连接(但只有拥有证书的才可以连接成功)，这样配置好之后公司其他人也可以使用。如果你不想这样，那你可以配置ip，用逗号分隔开。下面的$Host依旧是你服务器外网的IP或者域名，请自行替换。

⚠️⚠️⚠️注意： 这里我踩了坑

如果你填写的是ip地址的话命令如下
$ echo subjectAltName = IP:116.62.113.241,IP:0.0.0.0 >> extfile.cnf
如果你填写的是域名的话命令如下
$ echo subjectAltName = DNS:$HOST,IP:0.0.0.0 >> extfile.cnf

执行命令，将Docker守护程序密钥的扩展使用属性设置为仅用于服务器身份验证

$ echo extendedKeyUsage = serverAuth >> extfile.cnf

执行命令，并输入之前设置的密码，生成签名证书

$ openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out server-cert.pem -extfile extfile.cnf

生成客户端的key.pem，到时候把生成好的几个公钥私钥拷出去即可

$ openssl genrsa -out key.pem 4096

执行命令

$ openssl req -subj '/CN=client' -new -key key.pem -out client.csr

要使密钥适合客户端身份验证，请创建一个新的扩展配置文件：

$ echo extendedKeyUsage = clientAuth > extfile-client.cnf

生成cert.pem,需要输入前面设置的密码，生成签名证书

$ openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out cert.pem -extfile extfile-client.cnf

生成后cert.pem，server-cert.pem您可以安全地删除两个证书签名请求和扩展配置文件：

$  rm -v client.csr server.csr extfile.cnf extfile-client.cnf

rm: remove regular file 'client.csr'? y
removed 'client.csr'
rm: remove regular file 'server.csr'? y
removed 'server.csr'
rm: remove regular file 'extfile.cnf'? y
removed 'extfile.cnf'
rm: remove regular file 'extfile-client.cnf'? y
removed 'extfile-client.cnf'

修改权限，要保护您的密钥免受意外损坏，请删除其写入权限。要使它们只能被您读取，更改文件模式

$ chmod -v 0400 ca-key.pem key.pem server-key.pem

mode of 'ca-key.pem' changed from 0600 (rw-------) to 0400 (r--------)
mode of 'key.pem' changed from 0600 (rw-------) to 0400 (r--------)
mode of 'server-key.pem' changed from 0600 (rw-------) to 0400 (r--------)

证书可以是对外可读的，删除写入权限以防止意外损坏

$ chmod -v 0444 ca.pem server-cert.pem cert.pem

mode of 'ca.pem' changed from 0644 (rw-r--r--) to 0444 (r--r--r--)
mode of 'server-cert.pem' changed from 0644 (rw-r--r--) to 0444 (r--r--r--)
mode of 'cert.pem' changed from 0644 (rw-r--r--) to 0444 (r--r--r--)

归集服务器证书

[root@localhost ca]# cp server-*.pem  /etc/docker/
[root@localhost ca]# cp ca.pem /etc/docker/

修改Docker配置，使Docker守护程序仅接受来自提供CA信任的证书的客户端的连接

$ vim /lib/systemd/system/docker.service

将ExecStart=/usr/bin/dockerd替换为：

ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/etc/docker/ca.pem --tlscert=/etc/docker/server-cert.pem --tlskey=/etc/docker/server-key.pem -H tcp://0.0.0.0:2376 -H unix:///var/run/docker.sock

重新加载daemon并重启docker

[root@localhost ~]# systemctl daemon-reload 
[root@localhost ~]# systemctl restart docker

开放2376端口

$ /sbin/iptables -I INPUT -p tcp --dport 2376 -j ACCEPT
# 保存iptables的表配置
$ iptables-save

重启docker

$ service docker restart

保存相关客户端的pem文件到本地

IDEA配置

使用docker-maven-plugin 插件进行在idea中快速打包上传

方式一在pom中添加依赖和设置配置来代替DockerFile文件

 <!-- 使用docker打包插件实现docker部署简便化¬ -->
    <build>
        <!-- 引用我们的项目名字 -->
        <finalName>${project.artifactId}</finalName>

        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
                <executions>
                    <execution>
                        <goals>
                            <goal>repackage</goal>
                        </goals>
                    </execution>
                </executions>
            </plugin>

            <!--使用docker-maven-plugin插件-->
            <plugin>
                <groupId>com.spotify</groupId>
                <artifactId>docker-maven-plugin</artifactId>
                <version>1.0.0</version>
                <!--将插件绑定在某个phase执行-->
                <!--                <executions>-->
                <!--                    <execution>-->
                <!--                        <id>build-image</id>-->
                <!--                        &lt;!&ndash;用户只需执行mvn package ，就会自动执行mvn docker:build&ndash;&gt;-->
                <!--                        <phase>package</phase>-->
                <!--                        <goals>-->
                <!--                            <goal>build</goal>-->
                <!--                        </goals>-->
                <!--                    </execution>-->
                <!--                </executions>-->
                <configuration>
                    <!--指定生成的镜像名,这里是我们的作者名+项目名-->
                    <imageName>chnllc/${project.artifactId}</imageName>
                    <!--指定标签 这里指定的是镜像的版本，我们默认版本是latest-->
                    <imageTags>
                        <imageTag>latest</imageTag>
                    </imageTags>
                    <!--基础镜像，相当于Dockerfile里的from-->
                    <baseImage>ascdc/jdk8</baseImage>
                    <!--入口点，project.build.finalName就是project标签下的build标签下的filename标签内容，testDocker-->
                    <!--镜像制作人本人信息-->
                    <maintainer>chnllc@qq.com</maintainer>
                    <!--切换到ROOT目录-->
                    <workdir>/ROOT</workdir>
                    <!--查看我们的java版本-->
                    <cmd>["java", "-version"]</cmd>
                    <!--${project.build.finalName}.jar是打包后生成的jar包的名字-->
                    <entryPoint>["java", "-jar", "/${project.build.finalName}.jar"]</entryPoint>
                    <!--是否推送到docker私有仓库-->
                    <pushImage>false</pushImage>
                    <registryUrl>129.211.170.96</registryUrl>
                    <!--指定远程 docker api地址-->
                    <dockerHost>https://116.62.113.111:2376</dockerHost>
                    <!--本地cp证书路径-->
                    <dockerCertPath>/Users/alone/Documents/docker-ca/aliyun_3year</dockerCertPath>
                    <!-- 这里是复制 jar 包到 docker 容器指定目录配置 -->
                    <resources>
                        <resource>
                            <targetPath>/</targetPath>
                            <!--jar 包所在的路径  此处配置的 即对应 target 目录-->
                            <directory>${project.build.directory}</directory>
                            <!--把哪个文件上传到docker，相当于Dockerfile里的add testDocker.jar /-->
                            <include>${project.build.finalName}.jar</include>
                        </resource>
                    </resources>
                </configuration>

            </plugin>
        </plugins>
    </build>

方式二 保留DockerFile文件

<build>
        <plugins>
           <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
                <executions>
                    <execution>
                        <goals>
                            <goal>repackage</goal>
                        </goals>
                    </execution>
                </executions>
            </plugin>

            <!--使用docker-maven-plugin插件-->
            <plugin>
                <groupId>com.spotify</groupId>
                <artifactId>docker-maven-plugin</artifactId>
                <version>1.0.0</version>
                <configuration>
                    <!--指定生成的镜像名-->
                    <imageName>chnllc/${project.artifactId}</imageName>
                    <!--指定标签-->
                    <imageTags>
                        <imageTag>latest</imageTag>
                    </imageTags>
                    <!-- 指定 Dockerfile 路径-->
                    <dockerDirectory>src/main/docker</dockerDirectory>
                    <!--指定远程 docker api地址-->
                    <dockerHost>https://129.211.170.96:2376</dockerHost>
                    <!--本地cp证书路径-->
                    <dockerCertPath>/Users/alone/Documents/docker-ca/数字小镇服务器Docker CA证书</dockerCertPath>
                    <!-- 这里是复制 jar 包到 docker 容器指定目录配置 -->
                    <resources>
                        <resource>
                            <targetPath>/</targetPath>
                            <!--jar 包所在的路径  此处配置的 即对应 target 目录-->
                            <directory>${project.build.directory}</directory>
                            <!-- 需要包含的 jar包 ，这里对应的是 Dockerfile中添加的文件名 -->
                            <include>${project.build.finalName}.jar</include>
                        </resource>
                    </resources>
                </configuration>
            </plugin>

        </plugins>
    </build>

在配置中指定的Dockerfile路径中放文件

Dockerfile

# 基础镜像
FROM ascdc/jdk8

#作者
MAINTAINER chnllc

#系统编码
# ENV LANG=C.UTF-8 LC_ALL=C.UTF-88

#声明一个挂在点，容器内此路径会对应宿主机的某个文件夹
VOLUME /tmp

RUN ln -sf /usr/share/zoneinfo/Asia/Shanghai /etc/localtime \
    && echo "Asia/Shanghai" > /etc/timezone

#应用构建成功后的jar文件被复制到镜像内，名字也改成了app.jar
#ADD target/mobileinternet-0.0.1-SNAPSHOT.jar app.jar

#复制上下文目录下的target/demo.jar 到容器里 叫 newdom.jar
COPY demo.jar newdom.jar

#启动容器时的进程
ENTRYPOINT ["java","-jar","newdom.jar"]

#暴露端口
EXPOSE 6061
卢立聪
关注
  • 2
    点赞
  • 踩
  • 3
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
docker-maven-plugin使用SSL证书自动打包部署镜像到Docker服务器
唯爱丨晓翔的博客
02-25 1341
1. 软件环境 springboot 2.2.1稳定版 jdk 1.8 maven 3.6.2 docker-maven-plugin 0.4.13 2. Docker SSL证书配置 Docker具体设置请移步：Docker开启SSL证书加密远程连接 将以上步骤中下载的ca.pem、cert.pem、key.pem三个文件下载至本地目录中备用 在项目src/main下创建pem目录，将下载...
IDEA中使用Docker Compose容器编排的实现
08-18
主要介绍了IDEA中使用Docker Compose容器编排的实现，文中通过示例代码介绍的非常详细，对大家的学习或者工作具有一定的参考学习价值，需要的朋友们下面随着小编来一起学习学习吧
Idea整合Docker CA加密认证
wenkezhuangyuan的博客
08-04 861
通过idea整合docker时，是允许所有人都可以访问的，因为docker默认是root权限的，把2375端口暴露在外面，意味着别人随时都可以提取到你服务器的root权限，是很容易被黑客黑的，因此, docker官方推荐使用加密的tcp连接，以Https的方式与客户端建立连接。 官方示例Demo https://docs.docker.com/engine/security/https/#create-a-ca-server-and-client-keys-with-openssl Docker认..
centos7上实现docker的安全访问-基于CA认证
wendrewshay
03-06 1792
docker-ce版本：18.09.3-rc1 由于在局域网内主机进行测试，IP为192.168.22.65，以下内容中可将所有此IP替换成自己的IP地址。 一、在docker守护进程的主机上 1、生成CA私钥文件ca-key.pem $ openssl genrsa -aes256 -out ca-key.pem 4096 2、生成CA公钥文件ca.pem $ openssl r...
Idea+Docker+Ca证书打包
长安不及十里的博客
07-22 815
前言前端时间写了个demo，然后练习一下idea+docker进行打包，确实比较方便，但是没有运行几天，收到阿里云的短信通知，说我服务器挖矿，我靠，我是那种人吗？赶紧登上服务器看一了下，我靠服务器cpu直接拉满，靠，感觉查资料，原来是docker暴露的端口，导致挖矿病毒，后来我赶紧配置了个CA证书，集成Docker+Idea，......
Docker使用CA认证
AnblackCat的学习笔记
02-03 2412
在idea中一键部署项目到Docker及CA认证 不使用 CA 认证的方法在 这里 本文直接开始介绍使用 CA 认证远程连接 docker，不使用 CA 认证也行，在自己的虚拟机里面可以这么干，但是放到联网的服务器上就不建议这么做了，原因是，你把2375端口暴露在外面，意味着别人随时都可以提取到你服务器的root权限，是很容易被黑客黑的（笔者就是被当成了矿机的一例QwQ）。因此，docker官方...
在Idea中使用Docker部署SpringBoot项目的详细步骤
09-29
主要介绍了在Idea中使用Docker部署SpringBoot项目的详细教程，本文给大家介绍的非常详细，对大家的学习或工作具有一定的参考借鉴价值，需要的朋友可以参考下
docker5-idea整合 -CA认证1
08-03
1、Docker开启远程访问 2、IDEA安装Docker插件 3、IDEA配置docker 5、执行命令 6、IDEA 操作Docker 7、扩展配置
docker5-idea整合 -CA认证(补充）1
08-04
1、Docker开启远程访问 2、IDEA安装Docker插件 3、IDEA配置docker 5、执行命令 6、IDEA 操作Docker 7、扩展配置
idea集成docker部署springboot项目
04-24
该过程涉及到多个步骤，包括配置 Docker、编写 Dockerfile、在 IDEA 中连接服务器 Docker、配置 Docker 镜像容器和启动容器等。 一、配置 Docker 首先，我们需要配置 Docker，以便开放外部访问 Docker 端口。为此...
docker开启CA认证
小羽的博客
10-14 529
docker开启ca认证 mkdir -p /docker/docker_ca cd /docker/docker_ca #输入两次密码 openssl genrsa -aes256 -out ca-key.pem 4096 #输入密码，然后依次输入国家是 CN，省例如是Shanghai、市Shanghai、组织名称、组织单位、姓名或服务器名、邮件地址，都可以随意填写 openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem
idea集成docker通过CA加密认证
zhangr
09-26 272
创建证书 创建文件夹，这个是存放要生成的证书位置 mkdir -p /usr/local/ca 中间的一些生成过程已经写成shell文件点击下载 提取码：m5e4 把shell文件下载后存放到/usr/local/ca目录下，给shell文件赋权然后执行 chmod +x /usr/local/ca/*.sh ./create_tls_certs.sh 有个坑要注意，如果你在其他文本编辑器里编辑了create_tls_certs.sh，再上传到服务器，可能会出现特殊字符导致执行失败如下图，所..
Docker的安全屏障（CA证书）
zhuwei的博客
08-04 902
Docker安全及日志管理前言一、Docker容器和虚拟机的区别性能损耗隔离与共享docker安全问题自身漏洞源码缺陷三、docker 安全缺陷DDOS攻击资源耗尽系统漏洞共享root用户权限局域网攻击四、docker 安全基线标准内核级别主机级别网络级别镜像级别容器级别其他设置五、docker安全配置api远程访问控制限制流量流向创建CA证书 前言 一、Docker容器和虚拟机的区别 性能损耗 与虚拟机相比，容器资源损耗要少。同样的宿主机下，能够建立容器的数量要比虚拟机多。但是，虚拟机的安全性要比容器稍好
Docker学习(十一)-----docker-ca加密认证
qq_44623314的博客
09-12 769
前面提到的配置是允许所有人都可以访问的，因为docker默认是root权限的，把2375端口暴露在外面，意味着别人随时都可以提取到你服务器的root权限，很容易被黑客黑，因此，docker官方推荐使用加密的tcp连接，以https的方式与客户端建立连接官网文档。
【docker系列】docker API管理接口增加CA安全认证
字母哥博客
06-06 7785
前文中我们曾经介绍过《使用IDEA远程工具》连接Docker REST API，我们会发现一个问题，任何知道Docker 服务器IP、端口的第三方都可以访问这个API，非常的不安全。为了保证Docker API的安全性，我们有必要使用数字证书进行安全验证。...
CA认证idea证书加载编码报错
m1050599054的博客
12-11 504
CA认证idea证书加载编码报错CA认证idea证书加载编码报错java.io.IOException： Invalid Keystore format CA认证idea证书加载编码报错java.io.IOException： Invalid Keystore format pom文件中添加忽略自动转码: ##POM文件配置 <plugin> <groupId>org.apache.maven.plugins</groupId> <artifact
【云原生】Docker 安全与CA证书生成
最新发布
X2683933654的博客
02-21 1658
注：由于 20.10.9 版本的 docker 客户端用的 go 版本是 go1.16.8，而 go1.15 以后的版本不支持私有 CA 生成的证书，所以这里 docker 客户端仍使用 docker-ce-cli-20.10.5-3.el7.x86_64 安装的版本。容器的安全性问题的根源在于容器和宿主机共享内核。尽量以资源限制的方式运行容器 -m --memory-swap --cpu-quota --cpu-shares --cpuset-cpus --device-write-bps。
docker开放2375端口设置TLS和CA认证
qq_59517460的博客
12-18 1068
最近使用idea的docker插件,这个插件我们可以使用tcp的方式连接,但是这种连接方式非常不安全,开放的2375端口非常容易给人入侵,然后整个docker被人控制,这是非常危险的,所以为了解决这个安全问题，做了TLS和CA认证。
IDEA安全连接到Docker(CA认证方式，TLS安全连接)
weixin_58622844的博客
08-13 474
IDEA安全连接到Docker(CA认证方式，TLS安全连接) Docker入侵原理 CA证书+加密远程连接
docker-compose在idea中的使用
07-27
在IntelliJ IDEA中使用Docker Compose可以简化部署和管理多个Docker容器的过。以下是在IDEA中使用Dockerpose的一般步骤： 1. 确保经安装并正确配置了DockerDocker Compose。 2. 打开IntelliJ IDEA并导入你的项目。 3. 在IDEA的底部面板中，点击"Docker"按钮，打开Docker工具窗口。 4. 在Docker工具窗口中，点击左上角的"+"按钮，选择"Compose"。 5. 在弹出的对话框中，选择你的项目中的docker-compose.yml文件，并点击"OK"。 6. IDEA会读取docker-compose.yml文件，并在Docker工具窗口中显示Compose服务和容器。 7. 可以通过右键单击Compose服务或容器来执行各种操作，如启动、停止、重启、删除等。 8. 可以通过右键单击Compose服务或容器，选择"Logs"来查看日志输出。 9. 可以通过右键单击Compose服务或容器，选择"Exec"来执行命令或访问容器内部。 10. 可以通过右键单击Compose服务，选择"View/Edit Configuration"来查看和编辑Compose配置。 尽管这些步骤是通用的，但请注意根据你的具体项目和需求进行相应的调整。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值