Docker私有仓库_docker-registry-web 支持的tls

Docker官方提供了公有的registry：Docker Hub，企业内部可自建私有仓库。常见的可以有2种方式：docker-registry或基于gitlab

【registry方式】

1. openssl生成证书

openssl req -newkey rsa:4096 -nodes -sha256 -keyout registry-test.key -x509 -days 365 -out registry-test.crt

输入相应的国家/省/市/公司等，例如：

Issuer: C=cn, ST=gd, L=gz, O=xj, OU=xj, CN=xj.com emailAddress=123@xj.com

注意 CN 设置为相应域名，如： xj.com

2. 本机docker认证

在 /etc/docker/certs.d 下创建目录：xj.com:1234，然后把.crt文件（仅该文件即可，key可以不用）COPY到目录下

3. 重启DOCKER Daemon

systemctl restart docker

4. 创建加密文件

htpasswd -bc htpasswd user 123456  ----目前使用不起作用，后续再跟进

htpasswd -cB htpasswd user1  ----创建htpasswd文件，测试OK

htpasswd -B htpasswd user2  ---在htpasswd文件中追加用户，测试OK

5. 部署registry

1） docker pull registry:2

2） 通过docker run或docker-compose启动，其中可设置认证方式/加密文件路径/证书key/证书等

docker run启动：

docker run  -d  -p 1234:5000  --restart=always  --name myregistry \

  -v /home/apps/aa/common/conf/registry/auth:/auth \

  -e  "REGISTRY_AUTH=htpasswd" \

  -e  "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm" \

  -e  REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd \

  -v /home/apps/aa/common/conf/registry/certs:/certs \

  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/aa.crt \

  -e REGISTRY_HTTP_TLS_KEY=/certs/aa.key \

  registry:2

6. 部署WebUI

两个 web ui，一个是 docker-registry-frontend，另一个是 hyper/docker-registry-web。

这两个 ui 功能差不多，只需任选其一就可以了。截止目前，docker-registry-frontend 的功能还不完善，没有删除镜像的功能，只能浏览。后一个同时具备 删除和浏览 的功能。

1）docker-registry-frontend方式

参考registry-frontend.yml ，启动后，必须使用https://xj.com:8443 进行访问，目前只能查看，不能修改，删除。

官网：https://github.com/kwk/docker-registry-frontend

2）docker-registry-web方式

docker run -d -p 8080:8080 --name registry-web \

          -e REGISTRY_AUTH_ENABLED=false \

          -e REGISTRY_READONLY=false \

          -e REGISTRY_URL=https://xj.com:1234/v2 \

          -e REGISTRY_TRUST_ANY_SSL=true \

          -e REGISTRY_NAME=xj.com:1234 hyper/docker-registry-web

3. docker使用registry认证

1） 上述registry设置了登陆认证：用户名/密码+证书。那么访问的各机器的 /etc/docker/certs.d 目录下需有对应registry的证书+使用密码登陆，客户端机器不需要重启docker。

2） docker login -u username -p password xj.com:1234 //上面已设置证书，用户名/密码是上面生成的 user1/123456

3） docker push xj.com:134/aa-html/aa-projectname  //用户username需有该registry所关联项目aa-html/aa-projectname的push权限，例如hello用户没有该项目的权限那么无法push。

注意：

1. 若证书过期，直接上上面步骤替换证书，并重启registry即可。

2. 主机上的CA.crt证书和私有仓库上的CA.crt证书不匹配

Error response from daemon: Get https://xj.com:1234/v1/users/: x509: certificate signed by unknown authority

3. docker push时，image名称必须以xj.com:1234开头，否则会报错：denied: requested access to the resource is denied。 如：

docker tag consul xj.com:1234/consul:1.0.0

docker login -u user -p 123456 xj.com:1234

docker push xj.com:1234/consul:1.0.0

【gitlab方式】

1. openssl生成证书

同上

2. 本机docker认证

同上

3. 重启DOCKER Daemon

同上

4. gitlab（安装在/var/opt目录下）本身自带了 registry 的插件，在安装后，会自动有对应的配置，内部通过nginx启动，相应目录：/var/opt/gitlab/nginx和/var/opt/gitlab/registry。/nginx/conf下有对应的配置文件 gitlab-registry.conf，里面有监听端口/ssl的配置等，可参考 gitlab-registry.conf

5. 替换.conf中ssl配置的路径中的证书，并赋权限600，如 /etc/gitlab/ssl 下

6. 重启nginx-registry

7. 设置某个项目使用registry

8. web页面中删除tag，也仅仅是删除索引，未真正删除数据