docker remote api一鍵TLS加密的實(shí)現(xiàn)
更新時(shí)間：2021年11月04日 10:19:29 作者：與李
本文主要介紹了docker remote api一鍵TLS加密的實(shí)現(xiàn)，文中通過(guò)示例代碼介紹的非常詳細(xì)，具有一定的參考價(jià)值，感興趣的小伙伴們可以參考一下
最近公司服務(wù)器被挖礦了，最后原因定位到docker的2375端口。
讓我們來(lái)理一下，最開始發(fā)現(xiàn)docker中莫名其妙多了幾個(gè)鏡像和正在運(yùn)行的容器，而且很吃CPU，且2375端口未設(shè)置ip訪問(wèn)規(guī)則，意思就是所有人都可以通過(guò)你的2375端口操作你的docekr,且用啟動(dòng)容器掛載宿主機(jī)文件夾，因?yàn)閐ocker使用root權(quán)限啟動(dòng)的，所以所有人都可以通過(guò)你的2375端口以root用戶控制你的宿主機(jī)。
下面講一下我們的應(yīng)對(duì)步驟：
1、修改docker的2375端口為另外的端口，這只是權(quán)宜之計(jì)。
$ vi /usr/lib/systemd/system/docker.service
重啟docker:
$ systemctl daemon-reload $ systemctl restart docker
2、給docker進(jìn)行tls加密
#!/bin/bash
mkdir -p /root/tls/pem
DOMAIN_HOST=`ifconfig eth0 | grep "inet" | awk '{ print $2}' | sed -n '1p;1q'`
#DOMAIN_HOST=`hostname` #選擇域名方案最好
HOST=$DOMAIN_HOST
# 自定義信息
PASSWORD="yourPassword"
COUNTRY=CN
PROVINCE=gd
CITY=gz
ORGANIZATION=dounine
GROUP=dg
NAME=lake
SUBJ="/C=$COUNTRY/ST=$PROVINCE/L=$CITY/O=$ORGANIZATION/OU=$GROUP/CN=$HOST"
# 自定義信息
#============================================================================================
#此形式是自己給自己簽發(fā)證書,自己就是CA機(jī)構(gòu),也可以交給第三方機(jī)構(gòu)去簽發(fā)
# 生成根證書RSA私鑰,password作為私鑰密碼（身份證）
openssl genrsa -passout pass:$PASSWORD -aes256 -out /root/tls/pem/ca-key.pem 4096
# 2.用根證書RSA私鑰生成自簽名的根證書(營(yíng)業(yè)執(zhí)照)
openssl req -new -x509 -days 365 -passin pass:$PASSWORD -key /root/tls/pem/ca-key.pem -sha256 -subj $SUBJ -out /root/tls/pem/ca.pem
#============================================================================================
#給服務(wù)器簽發(fā)證書
# 1.服務(wù)端生成自己的私鑰
openssl genrsa -out /root/tls/pem/server-key.pem 4096
# 2.服務(wù)端生成證書(里面包含公鑰與服務(wù)端信息)
openssl req -new -sha256 -key /root/tls/pem/server-key.pem -out /root/tls/pem/server.csr -subj "/CN=$DOMAIN_HOST"
# 3.通過(guò)什么形式與我進(jìn)行連接,可設(shè)置多個(gè)IP地扯用逗號(hào)分隔
echo subjectAltName=IP:$DOMAIN_HOST,IP:0.0.0.0 > /tmp/extfile.cnf
# 4.權(quán)威機(jī)構(gòu)對(duì)證書進(jìn)行進(jìn)行蓋章生效
openssl x509 -passin pass:$PASSWORD -req -days 365 -sha256 -in /root/tls/pem/server.csr -CA /root/tls/pem/ca.pem -CAkey /root/tls/pem/ca-key.pem -CAcreateserial -out /root/tls/pem/server-cert.pem -extfile /tmp/extfile.cnf
#============================================================================================
#給客戶端簽發(fā)證書
openssl genrsa -out /root/tls/pem/client-key.pem 4096
openssl req -subj '/CN=client' -new -key /root/tls/pem/client-key.pem -out /root/tls/pem/client.csr
echo extendedKeyUsage = clientAuth > /tmp/extfile.cnf
openssl x509 -passin pass:$PASSWORD -req -days 365 -sha256 -in /root/tls/pem/client.csr -CA /root/tls/pem/ca.pem -CAkey /root/tls/pem/ca-key.pem -CAcreateserial -out /root/tls/pem/client-cert.pem -extfile /tmp/extfile.cnf
#============================================================================================
# 清理文件
rm -rf /root/tls/pem/ca-key.pem
rm -rf /root/tls/pem/{server,client}.csr
rm -rf /root/tls/pem/ca.srl
# 最終文件
# ca.pem == CA機(jī)構(gòu)證書
# client-cert.pem == 客戶端證書
# client-key.pem == 客戶私鑰
# server-cert.pem == 服務(wù)端證書
# server-key.pem == 服務(wù)端私鑰
注意：
- 當(dāng)DOMAIN_HOST設(shè)置成域名時(shí)，echo subjectAltName=IP:$DOMAIN_HOST,IP:0.0.0.0 > /tmp/extfile.cnf這段代碼的$DOMAIN_HOST應(yīng)該替換為你的服務(wù)器的公網(wǎng)ip
- echo subjectAltName=IP:$DOMAIN_HOST,IP:0.0.0.0 > /tmp/extfile.cnf中的IP:0.0.0.0表示所有ip都可以通過(guò)攜帶證書訪問(wèn)，雖然這里是設(shè)定了所有，但是不應(yīng)該省略顯示的定義自己服務(wù)器的公網(wǎng)ip。即為IP:$yourip,IP:0.0.0.0，而不是IP:0.0.0.0
賦予該文件執(zhí)行權(quán)限：
$ chmod +x tls.sh
執(zhí)行該shell腳本后，會(huì)在/root/tls/pem目錄下生成ca.pem、client-cert.pem、client-key.pem 、server-cert.pem、server-key.pem。
然后修改docker配置：
$ vim /usr/lib/systemd/system/docker.service
添加：
--tlsverify \
--tlscacert=/root/tls/pem/ca.pem \
--tlscert=/root/tls/pem/server-cert.pem \
--tlskey=/root/tls/pem/server-key.pem \
重啟docker:
$ systemctl daemon-reload $ systemctl restart docker
現(xiàn)在使用docker remote api進(jìn)行連接：
無(wú)認(rèn)證：
$ docker -H tcp://192.168.0.150:2376 version
會(huì)報(bào)錯(cuò)未認(rèn)證。
攜帶認(rèn)證方式：
docker --tlsverify --tlscacert=/root/tls/pem/ca.pem --tlscert=/root/tls/pem/client-cert.pem --tlskey=/root/tls/pem/client-key.pem -H tcp://192.168.0.150:2376 version
到此這篇關(guān)于docker remote api一鍵TLS加密的實(shí)現(xiàn)的文章就介紹到這了,更多相關(guān)docker remote api一鍵TLS加密內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
Docker Compose在不同環(huán)境的多種安裝方式
這篇文章主要介紹了Docker Compose在不同環(huán)境的多種安裝方式，文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2020-10-10
這篇文章主要介紹了Docker常用命令以及對(duì)應(yīng)演示demo，文中的代碼示例介紹的非常詳細(xì),需要的朋友可以參考下2023-05-05
這篇文章主要介紹了Docker 實(shí)用技巧總結(jié)的相關(guān)資料,需要的朋友可以參考下2016-10-10
這篇文章主要介紹了Docker compose配置文件寫法及命令總結(jié)使用示例，有需要的朋友可以借鑒參考下，希望能夠有所幫助，祝大家多多進(jìn)步早日升職加薪2022-03-03
Linux系統(tǒng)通過(guò)Docker安裝SQL?Server數(shù)據(jù)庫(kù)
這篇文章介紹了Linux系統(tǒng)通過(guò)Docker安裝SQL?Server數(shù)據(jù)庫(kù)的方法，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2022-03-03
基于docker部署skywalking實(shí)現(xiàn)全鏈路監(jiān)控功能
這篇文章主要介紹了基于docker部署skywalking實(shí)現(xiàn)全鏈路監(jiān)控,skywalking提供了在很多不同的場(chǎng)景下用于觀察和監(jiān)控分布式系統(tǒng)的方式，文中給大家介紹如何快速部署skywalking全鏈路監(jiān)控，感興趣的朋友一起看看吧2022-03-03
Docker-Compose項(xiàng)目由Python編寫，調(diào)用Docker服務(wù)提供的API來(lái)對(duì)容器進(jìn)行管理。因此，只要所操作的平臺(tái)支持Docker API， 就可以在其上利用Compose來(lái)進(jìn)行編排管理，這篇文章主要介紹了Docker-Compose?容器集群的快速編排,需要的朋友可以參考下2022-07-07
Docker?Desktop?啟用?Kubernetes?失敗后處理方案
?在setting -> Kubernetes 中，選中 Enable Kubernetes 后，長(zhǎng)時(shí)間顯示 Starting ...? ，在Images中顯示幾個(gè)自動(dòng)下載的鏡像后，顯示 Start Kubernetes failed，這篇文章主要介紹了Docker?Desktop啟用Kubernetes失敗后處理方法,需要的朋友可以參考下2023-08-08
詳解java項(xiàng)目打包docker鏡像的幾種方式
本文主要介紹了詳解java項(xiàng)目打包docker鏡像的幾種方式，文中通過(guò)示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值，需要的朋友們下面隨著小編來(lái)一起學(xué)習(xí)學(xué)習(xí)吧2023-01-01
Docker Compose是一個(gè)工具，用于定義和運(yùn)行多容器應(yīng)用程序的工具，接下來(lái)通過(guò)本文給大家分享Docker Compose的安裝和使用教程一起看看吧2021-09-09