Docker 簽名 PDF（開發者教程）

啟用 Docker 內容信任

Docker 內容信任預設是關閉的。 你可以透過將環境變數 DOCKER_CONTENT_TRUST 設定為 1 來啟用它。

export DOCKER_CONTENT_TRUST=1

export DOCKER_CONTENT_TRUST=1

初始化公證人儲存庫

在實際對鏡像進行簽名之前，必須先初始化 Notary 伺服器儲存庫。 您的圖像的委託密鑰和簽名將儲存在其中。

docker trust key generate <name>

docker trust key generate <name>

該命令會產生一個新的密鑰對，並將私鑰保存在本地。

載入已建立金鑰

使用 docker trust key load 將現有私鑰載入 Docker 的信任管理系統。 此命令用於匯入使用者產生的或從其他來源收到的新儲存庫金鑰，以便可用於在 Docker 內容信任下對 Docker 映像進行簽署。

docker trust key load --name <name> <path-to-public/private-key>

docker trust key load --name <name> <path-to-public/private-key>

下圖顯示了對應的公鑰檔案。

對 Docker 映像進行簽名

只需將映像推送到 Docker 映像倉庫即可簽署。 啟用 Docker 內容信任；推送操作將對映像進行簽署。

docker push <your-registry>/<your-image>:<tag>

docker push <your-registry>/<your-image>:<tag>

如果啟用了 Docker 內容信任，Docker 將使用您的私鑰對映像進行簽名，並且簽名也會隨映像一起發送出去。

驗證簽名影像

若要驗證已簽署的鏡像，請使用下列命令：

docker trust inspect --pretty <your-registry>/<your-image>:<tag>

docker trust inspect --pretty <your-registry>/<your-image>:<tag>

此指令輸出與鏡像關聯的簽章金鑰和簽章。

管理簽署金鑰

可以使用 docker trust signers 和 docker trust signer 指令來管理簽署金鑰。

新增簽名人：

docker trust signer add --key <path-to-key> <signer-name> <your-registry>/<your-image>

docker trust signer add --key <path-to-key> <signer-name> <your-registry>/<your-image>

下圖顯示了將帶有 ID 的儲存庫金鑰新增至控制台，然後將憑證新增至 Docker 儲存庫，並顯示成功新增簽署者的消息。

使用自訂憑證授權單位 (CA)

如果使用自訂 CA，請確保 Docker 信任此 CA。 這通常涉及將 CA 憑證放置在 Docker 的受信任憑證清單中。

將您的 CA 憑證貼到 Docker 主機上的 /etc/docker/certs.d/<your-registry>/ca.crt 檔案中。

將 Docker 與 TLS 結合使用

若要使用 TLS 保護 Docker 守護進程，請產生伺服器和用戶端證書，並配置 Docker 以使用它們。

產生證書

使用 OpenSSL 建立必要的憑證：

openssl genrsa -aes256 -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

openssl genrsa -aes256 -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

產生伺服器及客戶端金鑰及憑證：

openssl genrsa -out server-key.pem 4096
openssl req -subj "/CN=your-server" -sha256 -new -key server-key.pem -out server.csr
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem

openssl genrsa -out server-key.pem 4096
openssl req -subj "/CN=your-server" -sha256 -new -key server-key.pem -out server.csr
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem

最後，將憑證放置在正確的目錄中，並調整 Docker 守護程式配置，使 Docker 能夠使用這些憑證。

配置 Docker 守護程式

修改 Docker 守護程式的配置，使其使用產生的憑證：

{
  "tls": true,
  "tlsverify": true,
  "tlscacert": "/etc/docker/ca.pem",
  "tlscert": "/etc/docker/server-cert.pem",
  "tlskey": "/etc/docker/server-key.pem",
  "hosts": ["tcp://0.0.0.0:2376", "unix:///var/run/docker.sock"]
}

重新啟動 Docker 服務以套用變更。