ca安全证书字段_Docker平台提供的主要的安全技术汇总

欢迎关注异步社区头条号，程序员的思想汇 IT学习的集散地

本节会介绍由Docker平台提供的主要的安全技术。

1．Swarm模式

Swarm模式是Docker未来的趋势。Swarm模式支持用户集群化管理多个Docker主机，同时还能通过声明式的方式部署应用。每个Swarm都由管理者和工作者节点构成，节点可以是Linux或者Windows。管理者节点构成了集群中的控制层，并负责集群配置以及工作负载的分配。工作者节点就是运行应用代码的容器。

正如所预期的，Swarm模式包括很多开箱即用的安全特性，同时还设置了合理的默认值。这些安全特性包括以下几点。

• 加密节点ID。
• 基于TLS的认证机制。
• 安全准入令牌。
• 支持周期性证书自动更新的CA配置。
• 加密集群存储(配置DB)。
• 加密网络。

接下来将详细介绍如何构建安全的Swarm，以及如何进行安全相关的配置。

为了完成下面的内容，读者需要至少3个Docker主机，每个都运行1.13或者更高版本的Docker。示例中3个Docker主机分别叫作“mgr1”“mgr2”“wrk1”。每台主机上都安装Ubuntu 16.04，其上运行了Docker 18.01.0-ce。同时还有一个网络负责联通3台主机，并且主机之间可以通过名称互相ping通。安装完成后如图15.6所示。

图15.6 3个Docker主机

(1)配置安全的Swarm集群

读者可以在其Swarm集群管理者节点上运行下面的命令。在本例中，命令运行于“mgr1”节点之上。

$ docker swarm initSwarm initialized: current node (7xam...662z) is now a manager.To add a worker to this swarm, run the following command: docker swarm join --token  SWMTKN-1-1dmtwu...r17stb-ehp8g...hw738q 172.31.5.251:2377To add a manager to this swarm, run 'docker swarm join-token manager'and follow the instructions.

上面的命令就是配置安全Swarm集群所要做的全部工作！

“mgr1”被配置为Swarm集群中的第一个管理节点，也是根CA节点。Swarm集群已经被赋予了加密Swarm ID，同时“mgr1”节点为自己发布了一个客户端认证信息，标明自己是Swarm集群管理者。证书的更新周期默认设置为90天，集群配置数据库也已经配置完成并且处于加密状态。安全令牌也已经成功创建，允许新的管理者和工作者节点加入到Swarm集群中。以上全部内容都只需要一条命令

！

实验环境如图15.7所示。

图15.7　实验环境

现在将“mgr2”节点加入到集群中，作为额外的管理者节点。

将新的管理者节点加入到Swarm需要两步。第一步，需要提取加入管理者到集群中所需的令牌；第二步，在“mgr2”节点上执行docker swarm join命令。只要将管理者准入令牌作为docker swarm join命令的一部分，“mgr2”就作为管理者节点加入Swarm。

在“mgr1”上运行下面的命令获取管理者准入令牌。

$ docker swarm join-token managerTo add a manager to this swarm, run the following command: docker swarm join --token  SWMTKN-1-1dmtwu...r17stb-2axi5...8p7glz  172.31.5.251:2377

命令输出内容给出了管理者加入Swarm所需运行的准确命令。准入令牌和IP地址在读者自己的实验环境中是不一样的。

复制该命令并在“mgr2”节点上运行。

$ docker swarm join --token SWMTKN-1-1dmtwu...r17stb-2axi5...8p7glz > 172.31.5.251:2377This node joined a swarm as a manager.

“mgr2”现在已经作为另一个管理者加入Swarm。

<