Docker忽略https认证配置

背景

Docker是一种广泛使用的容器化平台，允许开发者打包应用及其依赖，方便部署和管理。Docker Registry是用于存储和分发Docker镜像的系统。为了确保安全性，​Docker默认只允许通过TLS（HTTPS）与 registry通信​。然而，在某些情况下，如使用自签名证书、测试环境或受信任的内部网络中，你可能需要允许Docker与不使用TLS的 Registry通信。这就需要配置Docker的insecure-registries选项。

何时需要配置 insecure-registries

1. ​自签名证书​：如果Docker Registry使用自签名证书，Docker默认会拒绝与其通信。通过配置insecure-registries，可以让Docker忽略这些安全警告。
2. ​不使用HTTPS​：如果Registry没有启用HTTPS，Docker将拒绝与其通信。配置insecure-registries可以让Docker与通过HTTP提供服务的 Registry通信。
3. ​开发或测试环境​：在开发或测试环境中，为了简化设置流程，可能暂时不使用HTTPS。在这种情况下，配置insecure-registries是一个方便的解决方案。
4. ​内部网络​：在完全受信任的内部网络中，认为启用HTTPS没有必要。配置insecure-registries可以避免由于缺少HTTPS而导致的通信问题。

如何配置 insecure-registries

以下是配置步骤：

1. 编辑 /etc/docker/daemon.json

​首先，使用文本编辑器打开​/etc/docker/daemon.json文件。如果文件不存在，可以新建一个。

sudo nano /etc/docker/daemon.json

2. 添加 insecure-registries 配置

在daemon.json文件中，添加或修改insecure-registries项。例如，如果Harbor Registry地址是harbor.mycompany.com，并且使用端口5000，可以这样配置：

{
  "insecure-registries": ["harbor.mycompany.com:5000"]
}

如果已有其他配置项，请确保添加​insecure-registries项而不破坏现有配置。例如：

{
  "registry-mirrors": ["xxxxxxxxxxx"],
  "insecure-registries": ["harbor.mycompany.com:5000"]
}

3. 重启 Docker 服务

配置完成后，需要重启Docker服务以使更改生效。使用以下命令重启Docker：

sudo systemctl restart docker

如果使用的是旧版本的Docker或其他Linux发行版，可能需要使用以下命令：

sudo service docker restart

4. 验证配置

重启Docker后，可以通过以下命令验证配置是否生效：

docker info

在输出的配置信息中，应该能看到Insecure Registries部分列出了配置的 registry地址：

Insecure Registries:
  harbor.mycompany.com:5000

注意事项

1. ​安全风险​：使用insecure-registries选项会降低安全性，特别是在不受信任的网络中使用时，可能会暴露数据和凭证。因此，建议仅在受信任的内部网络或开发/测试环境中使用。
2. ​生产环境​：在生产环境中，强烈建议使用受信任的证书和HTTPS，以确保数据传输的安全性。
3. ​多 registry配置​：如果你有多个不安全的 registry，可以在insecure-registries数组中添加多个条目。例如：

   {
     "insecure-registries": [
       "harbor.mycompany.com:5000",
       "another.registry.com:5000"
     ]
   }
   

结论

配置Docker的insecure-registries选项可以在特定场景下提高灵活性，允许Docker与不使用TLS的 registry通信。然而，在生产环境中，应尽量使用受信任的证书和HTTPS来保证安全性。