Docker 서명 PDF (개발자 튜토리얼)

Docker Content Trust 활성화

Docker Content Trust는 기본적으로 꺼져 있습니다. 환경 변수 DOCKER_CONTENT_TRUST를 1로 설정하여 이를 켤 수 있습니다.

export DOCKER_CONTENT_TRUST=1

export DOCKER_CONTENT_TRUST=1

Notary 저장소 초기화

실제로 이미지를 서명하기 전에 Notary 서버 저장소를 초기화해야 합니다. 위임 키와 서명이 이미지 내에 저장됩니다.

docker trust key generate <name>

docker trust key generate <name>

명령은 새 키 쌍을 생성하고 개인 키를 로컬에 저장합니다.

생성된 키 로드

기존 개인 키를 Docker의 신뢰 관리 시스템에 로드하려면 docker trust key load를 사용하세요. 이 명령은 사용자가 생성하거나 다른 출처에서 받은 새로운 저장소 키를 가져올 때 사용되며, Docker Content Trust 하에서 Docker 이미지를 서명하는 데 사용될 수 있습니다.

docker trust key load --name <name> <path-to-public/private-key>

docker trust key load --name <name> <path-to-public/private-key>

아래 이미지에는 대응되는 퍼블릭 키 파일이 표시됩니다.

Docker 이미지 서명

이미지를 Docker 레지스트리에 푸시하여 간단히 서명할 수 있습니다. Docker Content Trust를 활성화하면 푸시는 이미지를 서명할 것입니다.

docker push <your-registry>/<your-image>:<tag>

docker push <your-registry>/<your-image>:<tag>

Docker Content Trust가 활성화된 경우, Docker는 프라이빗 키를 사용하여 이미지를 서명하고 서명도 함께 저장됩니다.

서명된 이미지 검증

서명된 이미지를 검증하려면 다음 명령을 사용하세요:

docker trust inspect --pretty <your-registry>/<your-image>:<tag>

docker trust inspect --pretty <your-registry>/<your-image>:<tag>

이 명령은 이미지와 관련된 서명 키 및 서명을 출력합니다.

서명 키 관리

서명 키는 docker trust signers 및 docker trust signer 명령어를 사용하여 관리할 수 있습니다.

서명자를 추가하려면:

docker trust signer add --key <path-to-key> <signer-name> <your-registry>/<your-image>

docker trust signer add --key <path-to-key> <signer-name> <your-registry>/<your-image>

아래 이미지는 콘솔에 ID로 저장소 키를 추가한 후, 인증서가 Docker 저장소에 추가되어 성공적으로 서명자가 추가되었다는 메시지가 나타나는 모습입니다.

사용자 지정 인증 기관 (CA) 사용

맞춤 CA를 사용하는 경우, Docker가 이 CA를 신뢰하도록 하십시오. 이는 일반적으로 Docker의 신뢰할 수 있는 인증서에 CA 인증서를 배치하는 것을 포함합니다.

Docker 호스트의 /etc/docker/certs.d/<your-registry>/ca.crt 파일에 CA 인증서를 붙여 넣으세요.

Docker를 TLS로 사용

Docker 데몬을 TLS로 보호하기 위해 서버 및 클라이언트 인증서를 생성하고 Docker가 이를 사용하도록 구성하십시오.

인증서 생성

필요한 인증서를 만들기 위해 OpenSSL을 사용하십시오:

openssl genrsa -aes256 -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

openssl genrsa -aes256 -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

서버 및 클라이언트 키 및 인증서를 생성하십시오:

openssl genrsa -out server-key.pem 4096
openssl req -subj "/CN=your-server" -sha256 -new -key server-key.pem -out server.csr
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem

openssl genrsa -out server-key.pem 4096
openssl req -subj "/CN=your-server" -sha256 -new -key server-key.pem -out server.csr
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem

마지막으로, 생성된 인증서를 올바른 디렉토리에 배치하고 Docker 데몬 구성을 조정하여 Docker가 이를 사용하도록 구성합니다.

Docker Daemon 구성

생성된 인증서를 사용하도록 Docker 데몬의 구성을 수정하십시오:

{
  "tls": true,
  "tlsverify": true,
  "tlscacert": "/etc/docker/ca.pem",
  "tlscert": "/etc/docker/server-cert.pem",
  "tlskey": "/etc/docker/server-key.pem",
  "hosts": ["tcp://0.0.0.0:2376", "unix:///var/run/docker.sock"]
}

변경 사항을 적용하려면 Docker 데몬을 재시작하십시오.