Docker 守護程序+遠端連線+安全訪問 (完整收藏版)

阿新 • • 發佈：2019-02-14

一 Docker服務端,客戶端和CA證書

預設情況下，Docker通過非聯網的Unix套接字執行。它還可以選擇使用HTTP套接字進行通訊。

這裡有三個角色,Docker服務端和Docker客戶端和CA簽名的證書

Docker服務端:對應執行Docker守護程式的主機
- 通過開放埠(一般為2376)支援遠端連線
- 通過指定tlsverify標誌並將Docker的tlscacert標誌指向可信的CA證書來啟用TLS以實現安全訪問(僅允許由該CA簽名的證書進行身份驗證的客戶端連線)
Docker客戶端:即預設情況下的Docker主機
- 當使用證書連線時,僅能連線到具有該CA簽名的證書的伺服器
CA簽名的證書
- 作用:服務端和客戶端證書都只對應一份信任列表,信任列表裡是服務端的資訊(如ip或域名等等),服務端持有服務端證書,僅接受持有客戶端證書的主機訪問(這裡可以再加上其他的限制,詳情見下文)

注意:

Docker服務端也可以不開啟TLS驗證,不過這樣子很不安全,生產環境下應當儘量避免.如果只是試驗性的,可以指定關閉TLS驗證,但只對特定主機開放,方法見後文/etc/docker/daemon.json配置相關
如果Docker服務端沒有開啟TLS驗證,則Docker客戶端不需要使用證書連線.但如果客戶端不使用證書連線開啟了TLS驗證的服務端,則會報錯,如下:

Get http://遠端主機ip:2376/v1.38/version: net/http: HTTP/1.x transport connection broken: malformed HTTP response "\x15\x03\x01\x00\x02\x02" 
.
* Are you trying to connect to a TLS-enabled daemon without TLS?

如果Docker客戶端連線時使用的證書內不含目的主機的資訊,則會提示對方主機不在證書信任列表內,訪問失敗

二使用OpenSSL建立CA和服務端金鑰key

注意：將以下示例中的所有$HOST例項替換為Docker守護程式主機的域名(DNS name)(由於我沒有配域名,所以直接用主機ip代替了,有影響的地方我會再做提醒)

以下步驟在Docker服務端進行:

步驟1:生成CA私鑰ca-key.pem

說明:
ca-key.pem是一個臨時檔案，最後可以刪除。

指令:

openssl genrsa -aes256 -out ca-key.pem 4096

例子如下,需要設定密碼並驗證

$ openssl genrsa -aes256 -out ca-key.pem 4096
Generating RSA private key, 4096 bit long modulus
............................................................................................................................................................................................++
........++
e is 65537 (0x10001)
Enter pass phrase for ca-key.pem:
Verifying - Enter pass phrase for ca-key.pem:

步驟2:使用CA私鑰生成自簽名CA證書ca.pem

說明:生成證書時，通過-days 365設定證書的有效期。單位為天，預設情況下為30天。有了CA證書後,就可以建立伺服器金鑰和證書籤名請求（CSR）了
指令:

openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

例子如下,需要驗證密碼並輸入資訊,注意”Common Name”設定為伺服器所在主機的域名(我只填了Country Name 為CN,Province Name為Guangdong,後面直接回車也沒關係,反正也只是自己用的證書)

$ openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem
Enter pass phrase for ca-key.pem:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [AU]:
State or Province Name (full name) [Some-State]:Queensland
Locality Name (eg, city) []:Brisbane
Organization Name (eg, company) [Internet Widgits Pty Ltd]:Docker Inc
Organizational Unit Name (eg, section) []:Sales
Common Name (e.g. server FQDN or YOUR name) []:$HOST
Email Address []:[email protected]

步驟3:生成伺服器私鑰server-key.pem和證書籤名請求server-csr

說明:
CSR:Certificate Signing Request,證書籤名請求,server-csr是一個臨時檔案，生成server-cert.pem以後，可以刪除。
這裡分兩小步
- 第一步生成伺服器私鑰server-key.pem
- 第二步使用伺服器私鑰另加CN資訊生成證書籤名請求server-csr.pem
如下(注意這裡的CN資訊對應的是伺服器所在主機域名,如果沒有的話也沒關係,可以通過下一步的extfile.cnf配置IP地址連線):

$ openssl genrsa -out server-key.pem 4096
Generating RSA private key, 4096 bit long modulus
.....................................................................++
.................................................................................................++
e is 65537 (0x10001)

$ openssl req -subj "/CN=$HOST" -sha256 -new -key server-key.pem -out server.csr

步驟4:編寫extfile.cnf(重要)

說明:這個檔案用於指定下一步生成簽名證書的一些屬性配置,這裡我們主要用到兩個屬性,如果要其他要求(如限制指定ip範圍的客戶端才能連線)的可以看OpenSSL x509v3_config文件
- subjectAltName
  主題備選名稱,是有點像上一步生成server.csr時所用的選項-subj "/CN=$HOST"的東西,這個更像一個說明補充,這裡可以填信任的DNS域名和主機IP等等,因為沒有域名,所以我只填了Docker伺服器的主機IP
  另外,需要特別注意,這裡對應生成的是一份信任列表,這裡所說的信任是對服務端的信任,所以填的是服務端的資訊(如域名,IP),我之前看到有文章說這裡的列表是客戶端的列表,只有在列表中的客戶端才能訪問伺服器,這種說法是錯誤,在使用證書連線到伺服器時,會報錯說伺服器IP不在信任列表中( 如遠端主機ip為ip3,證書的信任列表為ip1和ip2時,若使用該證書訪問遠端主機,則會報錯x509: certificate is valid for ip1, ip2, not ip3)
- extendedKeyUsage
  擴充套件金鑰用法,此擴充套件包含一個用法列表，用於指示證書公鑰可用於的目的
如下
1 將Docker守護程式金鑰的擴充套件使用屬性設定為僅用於伺服器身份驗證
2 將域名(DNS Name)$HOST和IP為10.10.10.20(私有地址,用於區域網登入)和127.0.0.1(本地地址,用於本機登入)和公網ip(用於遠端登入)
注意:
事實上只配一個公網IP就行了,其他的視實際需求而定,本機的話一般不那麼麻煩,通過docker本身的配置即可使用本機控制,這裡配127.0.0.1主要是為了測試是否能連通,如果只配了私有地址則只有本區域網可訪問,安全性更高

echo extendedKeyUsage = serverAuth >> extfile.cnf
echo subjectAltName = DNS:$HOST,IP:10.10.10.20,IP:127.0.0.1,IP:公網ip >> extfile.cnf

步驟5:使用CA證書生成伺服器簽名證書server-cert.pem

注意,上面總共生成了兩大模組的檔案和一個extfile.cnf配置檔案,這三部分之間是彼此獨立的,到了這一步,也是最後一步才真正做了整合.
這裡要用到的有,(1)CA私鑰ca-key.pem和CA簽名檔案ca.pem,(2)證書籤名請求server-csr(3)配置檔案extfile.cnf
指令如下:

openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem -extfile extfile.cnf

例:

$ openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out server-cert.pem -extfile extfile.cnf
Signature ok
subject=/CN=your.host.com
Getting CA Private Key
Enter pass phrase for ca-key.pem:

至此,Docker服務端金鑰建立完畢

三利用CA建立客戶端金鑰key

注意:生成金鑰需要使用CA私鑰和簽名檔案,為簡化流程,避免CA檔案在服務端和客戶端之間的傳輸,以下步驟仍在Docker服務端進行

建立客戶端金鑰的過程和服務端類似,CA相關已經建立好了,extfile.cnf配置檔案也簡單很多,具體如下

步驟1:生成客戶端私鑰key.pem和證書籤名請求client-csr

如下

$ openssl genrsa -out key.pem 4096
Generating RSA private key, 4096 bit long modulus
.........................................................++
................++
e is 65537 (0x10001)

$ openssl req -subj '/CN=client' -new -key key.pem -out client.csr

步驟2:編寫擴充套件配置檔案extfile.cnf

注意,如果是在剛才建立伺服器私鑰的資料夾下,應該還有原來的extfile.cnf檔案,為避免覆寫,可以先執行重新命名

mv extfile.cnf extfile.cnf.old

建立擴充套件配置檔案並使金鑰適用於客戶端身份驗證的指令如下:

echo extendedKeyUsage = clientAuth >> extfile.cnf

步驟3:生成簽名檔案cert.pem

如下

$ openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem \
  -CAcreateserial -out cert.pem -extfile extfile.cnf
Signature ok
subject=/CN=client
Getting CA Private Key
Enter pass phrase for ca-key.pem:

四修改檔案許可權

步驟1:刪除兩個證書籤名請求檔案

rm -v client.csr server.csr

步驟2:修改金鑰檔案許可權為只由所有者讀取

chmod -v 0400 ca-key.pem key.pem server-key.pem

步驟3:修改證書檔案許可權為只讀

chmod -v 0444 ca.pem server-cert.pem cert.pem

五啟動Docker守護程序

啟動Docker守護程序有兩種方法,直接用帶參指令或者修改daemon.json配置檔案,另外,還有一種方式使用systemctl修改docker.service檔案,這種不推薦,這裡不作介紹.需要注意的是,不管是哪一種方法,只要對同一屬性做了配置,都會導致衝突而啟動失敗.所以建議只使用一種.

注意,監聽unix:///var/run/docker.sock是為了實現本機docker直接控制,監聽tcp://0.0.0.0:2376表示監聽2376埠所有連線,又這裡開啟了TLS驗證,則會根據我們給定的TLS檔案去做驗證

服務端需要的TLS檔案有CA證書ca.pem,服務端證書server-cert.pem,服務端金鑰server-key.pem

下面的兩種方法的介紹

1 指令啟動

dockerd  --tlsverify=true \
 --tlscacert=/opt/docker-ssh/ca.pem  \
 --tlscert=/opt/docker-ssh/server-cert.pem  \
 --tlskey=/opt/docker-ssh/server-key.pem  \
 --host tcp://0.0.0.0:2376  \
 --host unix:///var/run/docker.sock

2 daemon.json配置啟動

配置/etc/docker/daemon.json檔案如下,注意,映象地址與本文無關,可不配置

{
 "tlsverify": true,
  "tlscacert": "/opt/docker-ssh/ca.pem",
  "tlscert": "/opt/docker-ssh/server-cert.pem",
  "tlskey": "/opt/docker-ssh/server-key.pem",
  "hosts": ["tcp://0.0.0.0:2376","unix:///var/run/docker.sock"],
  "registry-mirrors": ["https://5ehijrnq.mirror.aliyuncs.com"]
}

然後通過systemctl正常啟動,指令如下

systemctl restart docker

六驗證遠端控制

客戶端需要的TLS檔案有CA證書ca.pem,客戶端證書cert.pem,客戶端金鑰key.pem
連線的指令格式如下,以docker version為例,其中$HOST為遠端主機ip

docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H=$HOST:2376 version

結果如下圖:
docker version
將version換成其他即可如在本機一樣控制遠端docker