最近使用idea的docker插件,这个插件我们可以使用tcp的方式连接,但是这种连接方式非常不安全,开放的2375端口非常容易给人入侵,然后整个docker被人控制,这是非常危险的,所以为了解决这个安全问题,做了TLS和CA认证。
1.新建CA文件目录
mkdir /www/docker/ca
2.切换到创建的ca文件夹下
cd /www/docker/ca
3.创建CA证书私钥,输入确认两次密码
openssl genrsa -aes256 -out ca-key.pem 4096
4.输入之前设置的密码,然后依次输入国家是 CN,省份、城市、公司、单位、服务器公网IP地址、邮件地址。
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem
5.创建服务端私钥,生成文件为server-key.pem
openssl genrsa -out server-key.pem 4096
6.创建服务端证书签名请求文件,用于CA证书给服务端证书签名。IP需要换成自己服务器的IP地址,或者域名都可以。生成文件server.csr
openssl req -subj "/CN=服务器公网IP地址" -sha256 -new -key server-key.pem -out server.csr
7.配置白名单,用多个用逗号隔开(0.0.0.0表示所有ip)
echo subjectAltName = IP:你的服务器公网ip,IP:0.0.0.0 >> extfile.cnf
8.将Docker守护程序密钥的扩展使用属性设置为仅用于服务器身份验证
echo extendedKeyUsage = serverAuth >> extfile.cnf
9.创建CA证书签名好的服务端证书,期间需要输入CA证书私钥密码,生成文件为server-cert.pem
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem \
-CAcreateserial -out server-cert.pem -extfile extfile.cnf
10.创建客户端私钥
openssl genrsa -out key.pem 4096 Generating RSA private key, 4096 bit long modulus
11.创建客户端证书签名请求文件,用于CA证书给客户证书签名,生成文件client.csr
openssl req -subj '/CN=client' -new -key key.pem -out client.csr
12.要使密钥适合客户端身份验证,创建扩展配置文件
echo extendedKeyUsage = clientAuth > extfile-client.cnf
13.创建CA证书签名好的客户端证书,期间需要输入CA证书私钥密码,生成文件为cert.pem
openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem \
-CAcreateserial -out cert.pem -extfile extfile-client.cnf
14.复制文件
cp server-*.pem /etc/docker/ && cp ca.pem /etc/docker/
15.修改docker.service文件配置
vi /usr/lib/systemd/system/docker.service
16.修改以ExecStart开头的配置,开启TLS认证,并配置好CA证书、服务端证书和服务端私钥
ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/etc/docker/ca.pem --tlscert=/etc/docker/server-cert.pem --tlskey=/etc/docker/server-key.pem -H tcp://0.0.0.0:2375 -H unix:///var/run/docker.sock
17.重载deamon
systemctl daemon-reload
18.重启docker
service docker restart
19.把文件拷贝到电脑
20.idea连接