1. #创建 Docker TLS 证书
    2. #!/bin/bash
    4. #相关配置信息
    5. # docker主机IP
    6. SERVER="192.168.20.222"
    7. # 密码
    8. PASSWORD="123456"
    9. # 国家
    10. COUNTRY="CN"
    11. # 省份
    12. STATE="浙江省"
    13. # 城市
    14. CITY="杭州市"
    15. # 机构名称
    16. ORGANIZATION="弗兰科"
    17. # 机构单位
    18. ORGANIZATIONAL_UNIT="弗兰科"
    19. # 邮箱
    20. EMAIL="zhangjin@flksec.com"
    22. ###开始生成文件###
    23. echo "开始生成文件"
    24. #文件当前目录
    25. curdir=`pwd`
    26. #切换到生产密钥的目录
    27. cd /etc/docker   
    28. #生成ca私钥(使用aes256加密)
    29. openssl genrsa -aes256 -passout pass:$PASSWORD  -out ca-key.pem 2048
    30. #生成ca证书，填写配置信息
    31. openssl req -new -x509 -passin "pass:$PASSWORD" -days 3650 -key ca-key.pem -sha256 -out ca.pem -subj "/C=$COUNTRY/ST=$STATE/L=$CITY/O=$ORGANIZATION/OU=$ORGANIZATIONAL_UNIT/CN=$SERVER/emailAddress=$EMAIL"
    33. #生成server证书私钥文件
    34. openssl genrsa -out server-key.pem 2048
    35. #生成server证书请求文件
    36. openssl req -subj "/CN=$SERVER" -new -key server-key.pem -out server.csr
    38. echo "subjectAltName=IP:${SERVER},IP:0.0.0.0" >> extfile.cnf
    39. echo "extendedKeyUsage=serverAuth" >> extfile.cnf
    41. #使用CA证书及CA密钥以及上面的server证书请求文件进行签发，生成server自签证书
    42. openssl x509 -req -days 3650 -in server.csr -CA ca.pem -CAkey ca-key.pem -passin "pass:$PASSWORD" -CAcreateserial  -out server-cert.pem -extfile extfile.cnf
    44. #生成client证书RSA私钥文件
    45. openssl genrsa -out key.pem 2048
    46. #生成client证书请求文件
    47. openssl req -subj '/CN=client' -new -key key.pem -out client.csr
    49. sh -c 'echo "extendedKeyUsage=clientAuth" > extfile.cnf'
    51. #生成client自签证书（根据上面的client私钥文件、client证书请求文件生成）
    52. openssl x509 -req -days 3650 -in client.csr -CA ca.pem -CAkey ca-key.pem  -passin "pass:$PASSWORD" -CAcreateserial -out cert.pem  -extfile extfile.cnf
    54. #更改密钥权限
    55. chmod 0400 ca-key.pem key.pem server-key.pem
    56. #更改密钥权限
    57. chmod 0444 ca.pem server-cert.pem cert.pem
    58. #删除无用文件
    59. rm client.csr server.csr extfile.cnf  ca.srl
    60. #拷贝客户端用的密钥
    61. mkdir -p ~/.docker/
    62. cd ~/.docker/
    63. cp /etc/docker/*.pem ~/.docker/
    64. tar -cvf ${curdir}/client.tar client-cert.pem client-key.pem
    66. echo "生成文件完成"
    67. ###生成结束###
    69. #开始修改docker启动配置文件
    70. cp -rf /lib/systemd/system/docker.service /lib/systemd/system/docker.service_bak
    71. num=`sed -n '/^ExecStart/=' /lib/systemd/system/docker.service`
    72. num_d="${num}d"
    73. sed -i "${num_d}" /lib/systemd/system/docker.service
    74. num_i="${num}i"
    75. sed -i "${num_i} ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock --tlsverify --tlscacert=/etc/docker/ca.pem --tlscert=/etc/docker/server-cert.pem --tlskey=/etc/docker/server-key.pem -H tcp://0.0.0.0:2376 -H unix:///var/run/docker.sock" /lib/systemd/system/docker.service
    77. # 重新加载文件
    78. systemctl daemon-reload
    79. systemctl restart docker.service
    80. systemctl status docker.service

    客户端调用：

    • docker -H=ip:2376 —tlsverify version
    • docker —tlsverify —tlscacert=/etc/docker/ca.pem —tlscert=/etc/docker/cert.pem —tlskey=/etc/docker/key.pem -H=192.168.20.222:2376 versionimage.png

    配置临时环境变量： 定义临时变量(非必要)# mkdir -pv ~/.docker
    cp -v {ca,cert,key}.pem ~/.docker
    export DOCKER_CERT_PATH=~/.docker/
    export DOCKER_HOST=tcp://$IP:2376
    export DOCKER_TLS_VERIFY=1