centos7为docker配置远程TLS验证,端口设定为2376

首先安装一个docker

yum install docke

启动Docker服务

systemctl start docker.service

查看Docker版本

docker version

centos7版本的docker的启动配置文件路径:

/lib/systemd/system/docker.service

在/lib/systemd/system/docker.service的ExecStart属性中追加:

--tlsverify \ --tlscacert=/etc/docker/ca.pem \ --tlscert=/etc/docker/server-cert.pem \ --tlskey=/etc/docker/server-key.pem \ -H tcp://0.0.0.0:2376

重启Docker服务

service docker restart

至此,该docker服务已经具备了被远程访问的能力.

但是,由于是TLS验证,所以必须要有证书,那么上面提到的/etc/docker文件夹里的ca.pem cert.pem key.pem三个文件是一定要有的.

这三个文件是由服务端生成,然后发送给客户端,客户端凭借与服务端相同的证书来进行访问. linux下生成证书的命令为:

[root@centos7 year]# sudo su //切换到root用户下.. [root@centos7 year]# read -s PASSWORD //定义一个密码变量 [root@centos7 year]# read SERVER //定义一个用户名变量 [root@centos7 year]# cd /etc/docker //切换到生产密钥的目录. [root@centos7 year]# openssl genrsa -aes256 -passout pass:$PASSWORD \ > -out ca-key.pem 2048 [root@centos7 year]# openssl genrsa -out server-key.pem 2048 [root@centos7 year]# openssl req -subj "/CN=$SERVER" -new -key server-key.pem -out server.csr [root@centos7 year]# openssl x509 -req -days 365 -in server.csr -CA ca.pem -CAkey ca-key.pem \ > -passin "pass:$PASSWORD" -CAcreateserial \ > -out server-cert.pem [root@centos7 year]# openssl genrsa -out key.pem 2048 [root@centos7 year]# openssl req -subj '/CN=client' -new -key key.pem -out client.csr [root@centos7 year]# sh -c 'echo "extendedKeyUsage=clientAuth" > extfile.cnf' [root@centos7 year]# openssl x509 -req -days 365 -in client.csr -CA ca.pem -CAkey ca-key.pem \ > -passin "pass:$PASSWORD" -CAcreateserial -out cert.pem \ > -extfile extfile.cnf [root@centos7 year]# chmod 0400 ca-key.pem key.pem server-key.pem //更改密钥权限 [root@centos7 year]# chmod 0444 ca.pem server-cert.pem cert.pem //更改密钥权限 [root@centos7 year]# rm client.csr server.csr //删除无用文件 [root@centos7 year]# scp /etc/docker/*.pem youHost:/etc/docker //将密钥发送到你的主机.

由于上面配密钥的时候使用的是用户名加密码,所以当客户端访问时,需要将用户名配在客户端的/etc/hosts文件里,格式如下:

例子: 192.168.1.1 centos7 要访问的docker服务的宿主机的ip 刚才输入的SERVER变量值.

链接命令:

[root@centos7 year]# docker --tlsverify --tlscacert=/etc/docker/ca.pem \ > --tlscert=/etc/docker/cert.pem --tlskey=/etc/docker/key.pem \ > -H centos7:2376 version