内网部署支持ssl的docker registry

首先需要使用域名或主机名制作证书，自签证书在内网可以使用，因为内网可排除信任问题，自签证书流程可以参考使用自签的证书配置nginx的https。

证书制作完成我们开始部署registry,当前registry v2版已经发布，所以我们使用v2版部署测试，部署之前需要运行docker daemon

1、将制作好的证书copy到/etc/docker/certs.d/${domain}/ca.crt中，注意目录中的domain是registry的域名或主机名，同时也是制作证书时的输入的Common name。

  #] cp web1.crt /etc/docker/certs.d/web1\:5000/ca.crt

然后重启docker daemon 

2、拉取官方registry镜像

  #] docker pull registry:2  ## docker pull registry:latest

3、运行registry容器：

  #] docker run -d -p 5000:5000 --restart=always --name registry \

  -v /root/ssl:/certs \

  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/web1.crt \

-e REGISTRY_HTTP_TLS_KEY=/certs/web1.key \

registry:2

    注意：参数 -v /root/ssl是证书所在目录

4、测试将镜像push到仓库中

  将待push到仓库中的镜像打标签

  #] docker tag registry:2 web1:5000/registry

  push镜像

  

  push完之后，可以在本地使用docker pull web1:5000/registry

5、在另外一台机器上pull镜像，首先需要将证书copy到这台机器的/etc/docker/certs.d/web1:5000/目录下

并重名为ca.crt，然后重启docker daemon

执行docker pull web1:5000/registry命令：

拉取成功，registry部署完成。

碰到的问题：在push和pull的时候出现x509:certificate signed by unknown authority,如下图：

主要原因是没有将证书copy到/etc/docker/certs.d/web1:5000目录下，并需要将证书重命名为ca.crt.

当然还得确保自签证书没问题。

转载于:https://blog.51cto.com/jackeychen/1836602