Docker 签名 PDF（开发者教程

启用 Docker 内容信任

Docker 内容信任默认是关闭的。 您可以通过将环境变量DOCKER_CONTENT_TRUST设置为 1 来启用它。

export DOCKER_CONTENT_TRUST=1

export DOCKER_CONTENT_TRUST=1

初始化公证人存储库

在实际对镜像进行签名之前，必须先初始化 Notary 服务器存储库。 您的图像的委托密钥和签名将存储在其中。

docker trust key generate <name>

docker trust key generate <name>

该命令会生成一个新的密钥对，并将私钥保存在本地。

加载已创建密钥

使用docker trust key load将现有的私钥加载到 Docker 的信任管理系统中。 该命令用于导入用户生成的或从其他来源收到的新存储库密钥，以便可用于在 Docker 内容信任下对 Docker 镜像进行签名。

docker trust key load --name <name> <path-to-public/private-key>

docker trust key load --name <name> <path-to-public/private-key>

下图显示了相应的公钥文件。

对 Docker 镜像进行签名

只需将镜像推送到 Docker 镜像仓库即可对其进行签名。 启用 Docker 内容信任；推送操作将对镜像进行签名。

docker push <your-registry>/<your-image>:<tag>

docker push <your-registry>/<your-image>:<tag>

如果启用了 Docker 内容信任，Docker 将使用您的私钥对镜像进行签名，并且签名也会随镜像一起发送出去。

验证签名图像

要验证已签名的镜像，请使用以下命令：

docker trust inspect --pretty <your-registry>/<your-image>:<tag>

docker trust inspect --pretty <your-registry>/<your-image>:<tag>

该命令输出与镜像关联的签名密钥和签名。

使用docker trust inspect 命令验证已签名镜像

管理签名密钥

可以使用docker trust signers和docker trust signer命令来管理签名密钥。

添加签名人：

docker trust signer add --key <path-to-key> <signer-name> <your-registry>/<your-image>

docker trust signer add --key <path-to-key> <signer-name> <your-registry>/<your-image>

下图显示了将带有 ID 的存储库密钥添加到控制台，然后将证书添加到 Docker 存储库，并显示成功添加签名者的消息。

使用docker trust signer 命令添加仓库密钥

使用自定义证书颁发机构 (CA)

如果使用自定义 CA，请确保 Docker 信任此 CA。 这通常涉及将 CA 证书放置在 Docker 的受信任证书列表中。

将您的 CA 证书粘贴到/etc/docker/certs.d/<your-registry> /ca.crt目录中。 /etc/docker/certs.d/<your-registry> /ca.crt Docker 主机上的/etc/docker/certs.d/<your-registry> /ca.crt文件。

使用 TLS 的 Docker

要使用 TLS 保护 Docker 守护进程，请生成服务器和客户端证书，并配置 Docker 以使用它们。

生成证书

使用 OpenSSL 创建必要的证书：

openssl genrsa -aes256 -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

openssl genrsa -aes256 -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

生成服务器和客户端密钥及证书：

openssl genrsa -out server-key.pem 4096
openssl req -subj "/CN=your-server" -sha256 -new -key server-key.pem -out server.csr
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem

openssl genrsa -out server-key.pem 4096
openssl req -subj "/CN=your-server" -sha256 -new -key server-key.pem -out server.csr
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem

最后，将证书放置在正确的目录中，并调整 Docker 守护程序配置，使 Docker 能够使用这些证书。

配置 Docker 守护进程

修改 Docker 守护进程的配置，使其使用生成的证书：

{
  "tls": true,
  "tlsverify": true,
  "tlscacert": "/etc/docker/ca.pem",
  "tlscert": "/etc/docker/server-cert.pem",
  "tlskey": "/etc/docker/server-key.pem",
  "hosts": ["tcp://0.0.0.0:2376", "unix:///var/run/docker.sock"]
}

重启 Docker 服务以应用更改。