张子阳的博客

首页 读书 技术 店铺 关于
张子阳的博客 首页 读书 技术 关于

基于Docker的持续集成方案(安装和配置docker镜像仓库) - Part.5

2018-06-12 张子阳 分类: 分布式系统

《基于Docker的持续集成方案(介绍) - Part.1》中,有一个安装和配置环节,即私有的docker镜像仓库,本文将对此进行介绍。

获取证书

docker镜像仓库默认使用https协议,因此需要使用证书。证书可以自己生成(需要额外配置),也可以在云服务器提供商(阿里云、腾讯云)处申请,但前提是你得有一个域名。这里介绍的是在腾讯云处申请的证书。

申请证书

下载到证书之后,默认的名称很长,可以重命名为ca.crt和ca.key。

如果没有域名,也可以自己生成证书,生成证书可以在服务器上使用下面的命令来完成。剩下的流程都一样。但是在实际使用中,可能会提示证书有误。如果没有记错,需要修改客户端的 /etc/docker/daemon.json 文件,然后添加 { "insecure-registries":["your.domain.com:5000"] }(注意替换域名和端口号)。

执行下面命令生成证书:

openssl req -newkey rsa:4096 -nodes -sha256 -keyout ca.key -x509 -days 365 -out ca.crt

服务端运行registry镜像

首先,下载docker registry镜像到本地,并重新tag一个短名称:

docker pull registry.docker-cn.com/library/registry:2.6; \ docker tag registry.docker-cn.com/library/registry:2.6 registry:2.6; \ docker rmi registry.docker-cn.com/library/registry:2.6;

将上一步获取到的ca.crt和ca.key上传到/docker/certs文件夹下(如果没有就创建一下)。

执行下面的docker命令运行容器:

docker run -d -p 8041:5000 --restart=always --name registry \ -v /docker/certs:/certs \ -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/ca.crt \ -e REGISTRY_HTTP_TLS_KEY=/certs/ca.key \ registry:2.6

https的默认端口是443,因为可能会有很多应用需要使用443端口,所以在前端的nginx服务器上统一配置,此处的镜像仓库则使用8041端口。注意,容器内部默认使用的端口是5000,这里使用 -p 标识做了映射。

客户端推送镜像

接下来我们尝试在客户端推送镜像到刚创建好的镜像仓库。我们先从官方pull一个体积比较小的镜像。

docker pull hello-world

然后对该镜像进行tag重命名:

docker tag hello-world docker.we-app.net:8041/hello-world:1.0

如果要推送一个本地docker镜像到远程仓库,只需要将该镜像tag为:推送地址+名称+Tag。

最后执行docker push命令进行推送

docker push docker.we-app.net:8041/hello-world:1.0

随后,我们在浏览器访问:https://docker.we-app.net:8041/v2/_catalog,可以看到{"repositories":["hello-world"]},说明已经推送成功。还可以通过https://docker.we-app.net:8041/v2/hello-world/tags/list,查看推送的明细:{"name":"hello-world","tags":["1.0"]}

换一台客户端,执行 docker pull docker.we-app.net:8041/hello-world:1.0,可以成功获取到镜像。

配置访问权限

通过上面的方式,尽管可以推送镜像也可以获取镜像,但可以看到仓库是完全公开的,运行在内网自己用用还行,但在公网上则需要为镜像仓库添加访问权限。一般情况下,镜像仓库的权限配置有几种方式,这里我使用最简单的basic auth基本验证。

在服务端,进入文件夹/docker/auth(如果没有则创建)。

执行下面的docker命令:

docker run --rm --entrypoint htpasswd registry:2.6 -Bbn user1 pwd123 >> dockerusers docker run --rm --entrypoint htpasswd registry:2.6 -Bbn user2 pwd123 >> dockerusers

上面的命令会创建两个用户 user1,user2,密码均为pwd123,然后保存到dockeruser文件中。

删除当前的registry容器:

docker stop registry; docker rm registry;

使用下面的命令重新运行registry容器:

docker run -d \ -p 8041:5000 \ --restart=always \ --name registry \ -v /docker/auth:/auth \ -e "REGISTRY_AUTH=htpasswd" \ -e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm" \ -e REGISTRY_AUTH_HTPASSWD_PATH=/auth/dockerusers \ -v /docker/certs:/certs \ -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/ca.crt \ -e REGISTRY_HTTP_TLS_KEY=/certs/ca.key \ registry:2.6

可以看到,上面主要是添加了三条REGISTRY_AUTH相关的指令,用来配置用户信息。

在客户端再次push之前tag过的hello-world镜像:

[root@dev57 ~]# docker push docker.we-app.net:8041/hello-world:1.0 The push refers to repository [docker.we-app.net:8041/hello-world] 2b8cbd0846c5: Preparing no basic auth credentials

此时可以看到no basic auth credentials,说明缺少用户认证信息。

使用 docker login docker.we-app.net:8041,并输入上面配置的用户名和密码。再次执行docker push,则可以成功推送。

再次通过浏览器访问 https://docker.we-app.net:8041/v2/_catalog 查看镜像列表,则会要求输入账号密码:

要求账号密码

同样,如果换一台客户端 ,当执行docker pull获取hello-world镜像时,仍然会提示缺少权限。

[root@dev55 ~]# docker pull docker.we-app.net:8041/hello-world:1.0 Error response from daemon: Get https://docker.we-app.net:8041/v2/hello-world/manifests/1.0: no basic auth credentials

在这台客户端上再执行一遍 docker login docker.we-app.net:8041,便可以进行获取了。

配置nginx服务器进行转发

像上面这样使用,有一点不方便,就是每次都需要输入端口号:8041。可以通过在前端的nginx服务器上进行配置,对443端口进行转发,这样就可以直接通过docker.we-app.net访问镜像仓库了。

在服务器端修改nginx的配置:

server { listen 443; server_name docker.we-app.net; ssl on; ssl_certificate /docker/certs/ca.crt; ssl_certificate_key /docker/certs/ca.key; location / { proxy_pass https://localhost:8041; } }

重新加载nginx配置:

nginx -s reload

现在,去掉端口号,使用浏览器访问:https://docker.we-app.net/v2/_catalog,再次看到登录框,一切正常。然后在客户端执行docker pull docker.we-app.net/hello-world:1.0,提示缺少basci auth,然后像上面演示的重新docker login docker.we-app.net一遍就一切正常了。

至此,加入简单用户访问权限的远程docker镜像仓库便安装并配置成功了。

感谢阅读,希望这篇文章能给你带来帮助!