docker 私有 registry 透过 nginx 反向代理

Docker仓库实际上提供两方面的功能，一个是镜像管理，一个是认证。前者主要由docker-registry项目来实现，通过http服务来上传下载；后者可以通过docker-index（闭源）项目或者利用现成认证方案（如nginx）实现http请求管理。

---

一、安装 docker ，并且添加可信 registry，重启 docker 服务，准备镜像。

vim /usr/lib/systemd/system/docker.service

---

二、运行 registry

---

三、配置 nginx-proxy

1、安装依赖包及 nginx

yum -y install wget httpd
yum -y install pcre pcre-devel
yum -y install openssl openssl-devel

wget http://tengine.taobao.org/download/tengine-2.1.2.tar.gz
tar zxf tengine-2.1.2.tar.gz
./configure --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module
make && make install

2、配置 nginx

# upstream定义registry地址
    upstream docker-registry {
        server 10.1.0.50:5000;
    }

# server 定义域名及location
    server {
    listen  443;
        server_name docker.showjoy.net;

# 设置nginx允许的POST请求数据包大小用：client_max_body_size参数(默认是1m)
    client_max_body_size 300m;

# 开启ssl及定义ssl证书位置
        ssl on;
        ssl_certificate /etc/ssl/certs/docker.showjoy.net.crt;
        ssl_certificate_key /etc/ssl/certs/docker.showjoy.net.key;

# 请求转发的的必要请求头信息(虚拟主机地址，远程主机地址，访问token，服务器ip和端口)
        proxy_set_header Host $http_host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header Authorization "";
        proxy_set_header Accept-Encoding "";
        proxy_set_header X-Forwarded-By $server_addr:$server_port;
        proxy_set_header X-Forwarded-For $remote_addr;

# 第一个location用于访问docker-registry，需要进行认证
        location / {
            auth_basic "Restricted";
            auth_basic_user_file /usr/local/nginx/auth/htpasswd.txt;
            proxy_pass http://docker-registry;
    }

# 第二个location用于访问docker-registry的images，关闭认证
        location /v1/search {
        auth_basic off;
            proxy_pass http://docker-registry;
    }

# 第三个location只是用于测试，关闭认证
    location /1 {
        auth_basic off;
        root /tmp/;
            autoindex on;
    }

    }

---

四、生成 nginx 服务器 ssl 密钥

1、生成私钥文件

cd /etc/ssl/certs/
openssl genrsa -out docker.showjoy.net.key 2048

2、生成根证书文件

openssl req -newkey rsa:2048 -nodes -keyout docker.showjoy.net.key -x509 -days 3650 -out docker.showjoy.net.pem -subj “/C=CN/ST=state/L=city/O=xxx/OU=docker.showjoy.net/”

3、下面将pem编码格式的证书转换成crt扩展名证书，放到系统证书目录（用户访问registry之前需要这一步）

cat docker.showjoy.net.pem | tee -a /etc/ssl/certs/docker.showjoy.net.crt

---

五、 htpasswd 工具生成用户账户（用户名：hongxue）

mkdir -p /usr/local/nginx/auth
cd /usr/local/nginx/auth
htpasswd -c htpasswd.txt hongxue

---

六、其他

1、关闭 firewalld 防火墙
2、关闭 selinux
3、添加 /etc/hosts 映射（因为nginx部署在本地，没有域名可用）
4、设置 docker 开启自启动（systemctl enable docker.service）

5、启动 nginx

七、上传镜像

看到下面报错，是因为我没有通过nginx认证

当我第二次 login 之后，再一次 docker push docker.showjoy.net/nginx ，则成功！

可以看到，我已经在 registry 中上传了两个 images