Docker 簽名 PDF（開發者教程）

啟用 Docker 內容信任

Docker 內容信任預設為關閉。 您可以通過將環境變數DOCKER_CONTENT_TRUST設為1來啟用它。

export DOCKER_CONTENT_TRUST=1

export DOCKER_CONTENT_TRUST=1

初始化 Notary 儲存庫

在您實際簽署映像前，必須初始化一個 Notary 伺服器儲存庫。 您的映像的委派鍵和簽章將被儲存在其中。

docker trust key generate <name>

docker trust key generate <name>

該命令生成一對新的密鑰並將私鑰保存在本地。

載入已建立的密鑰

使用docker trust key load將現有的私鑰載入至 Docker 的信任管理系統中。 該命令用於匯入新儲存庫的密鑰，這些密鑰是使用者生成的或從其他來源收到的，因此可以用於在 Docker 內容信任下簽署Docker映像。

docker trust key load --name <name> <path-to-public/private-key>

docker trust key load --name <name> <path-to-public/private-key>

下圖顯示了對應的公開密鑰文件。

簽署 Docker 映像

可以簡單地將映像推至Docker註冊中心來簽署它。 啟用 Docker 內容信任；推送將簽署映像。

docker push <your-registry>/<your-image>:<tag>

docker push <your-registry>/<your-image>:<tag>

如果啟用了 Docker 內容信任，Docker 將使用您的私鑰簽署映像，簽名也將隨之附帶。

驗證已簽署映像

要驗證已簽署的映像，請使用以下命令：

docker trust inspect --pretty <your-registry>/<your-image>:<tag>

docker trust inspect --pretty <your-registry>/<your-image>:<tag>

此命令輸出與映像相關的簽名鍵和簽名。

管理簽名鍵

簽名鍵可以使用 docker trust signers 和 docker trust signer 命令來管理。

要新增簽名者：

docker trust signer add --key <path-to-key> <signer-name> <your-registry>/<your-image>

docker trust signer add --key <path-to-key> <signer-name> <your-registry>/<your-image>

下圖顯示將儲存庫密鑰新增到控制台中的ID，然後將證書新增到 Docker 儲存庫中，顯示成功新增簽名者的消息。

使用自定義的證書授權（CA）

如果使用自定義的CA，請確保 Docker 信任此 CA。 這通常涉及將 CA 證書放置於 Docker 信任的證書中。

將您的 CA 證書粘貼在Docker主機上的 /etc/docker/certs.d/<your-registry>/ca.crt 文件中。

使用Docker和TLS

要使用 TLS 保護 Docker daemon，生成伺服器和客戶端證書並配置 Docker 使用它們。

生成證書

使用 OpenSSL 建立必要的證書：

openssl genrsa -aes256 -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

openssl genrsa -aes256 -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

生成伺服器和客戶端的密鑰和證書：

openssl genrsa -out server-key.pem 4096
openssl req -subj "/CN=your-server" -sha256 -new -key server-key.pem -out server.csr
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem

openssl genrsa -out server-key.pem 4096
openssl req -subj "/CN=your-server" -sha256 -new -key server-key.pem -out server.csr
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem

最後，通過將這些證書放置在正確的目錄中並調整 Docker daemon 配置來將 Docker 配置為使用它們。

配置Docker守護程式

修改Docker daemon的配置以使用生成的證書：

{
  "tls": true,
  "tlsverify": true,
  "tlscacert": "/etc/docker/ca.pem",
  "tlscert": "/etc/docker/server-cert.pem",
  "tlskey": "/etc/docker/server-key.pem",
  "hosts": ["tcp://0.0.0.0:2376", "unix:///var/run/docker.sock"]
}

重啟 Docker daemon 以應用更改。

T>## 什麼是IronSecureDoc？

IronSecureDoc 是一個企業級文件安全解決方案，用於保護機密文件免受未授權的存取和資料洩露的影響。 它包括靜態和傳輸中的行業級加密，確保您的文件被安全地儲存和傳輸。 它整合了詳細的存取控制以控制文件檢視和編輯的使用者權限級別。 此外，它還提供先進的資料處理工具，在共享之前模糊關鍵資訊。

IronSecureDoc 包含實時檢測、審計和文件活動日誌，支援GDPR和HIPAA合規性。 它與文件管理系統和協作平台整合，增強安全性而不破壞工作流程，保護關鍵資訊並提供合規準備格式。 特別適合金融、健康和法律等行業。 有關使用詳情，請參閱 教程 頁面。