Docker CA認證
1、建立ca檔案夾，存放CA私鑰和公鑰
mkdir -p /usr/local/ca
cd /usr/local/ca/
2、建立密碼
需要連續輸入兩次相同的密碼
openssl genrsa -aes256 -out ca-key.pem 4096
3、依次輸入密碼、國家、省、市、組織名稱等
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem
4、生成server-key.pem
openssl genrsa -out server-key.pem 4096
5、把下面的IP換成你自己伺服器外網的IP或者域名
openssl req -subj "/CN=192.168.188.129" -sha256 -new -key server-key.pem -out server.csr
6、配置白名單
0.0.0.0表示所有ip都可以連接配接(但隻有擁有證書的才可以連接配接成功)
echo subjectAltName = IP:192.168.188.129,IP:0.0.0.0 >> extfile.cnf
7、執行指令，将Docker守護程式密鑰的擴充使用屬性設定為僅用于伺服器身份驗證
echo extendedKeyUsage = serverAuth >> extfile.cnf
8、執行指令，并輸入之前設定的密碼，生成簽名證書
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem \-CAcreateserial -out server-cert.pem -extfile extfile.cnf
9、生成用戶端的key.pem，到時候把生成好的幾個公鑰私鑰拷出去即可
openssl genrsa -out key.pem 4096
10、執行指令
openssl req -subj '/CN=client' -new -key key.pem -out client.csr
11、執行指令，要使密鑰适合用戶端身份驗證，請建立擴充配置檔案
echo extendedKeyUsage = clientAuth >> extfile.cnf
12、生成cert.pem,需要輸入前面設定的密碼，生成簽名證書
openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem \-CAcreateserial -out cert.pem -extfile extfile.cnf
13、删除不需要的檔案，兩個證書簽名請求
rm -v client.csr server.csr
14、修改權限，要保護您的密鑰免受意外損壞，請删除其寫入權限。要使它們隻能被您讀取，更改檔案模式
chmod -v 0400 ca-key.pem key.pem server-key.pem
證書可以是對外可讀的，删除寫入權限以防止意外損壞
chmod -v 0444 ca.pem server-cert.pem cert.pem
15、歸集伺服器證書
cp server-*.pem /etc/docker/
cp ca.pem /etc/docker/
16、修改Docker配置，使Docker守護程式僅接受來自提供CA信任的證書的用戶端的連接配接
vim /usr/lib/systemd/system/docker.service
ExecStart=/usr/bin/dockerd 下面增加
ExecStart=/usr/bin/dockerd \
--tlsverify \
--tlscacert=/etc/docker/ca.pem \
--tlscert=/etc/docker/server-cert.pem \
--tlskey=/etc/docker/server-key.pem \
-H tcp://0.0.0.0:2376 \
-H unix://var/run/docker.sock \
-H fd:// --containerd=/run/containerd/containerd.sock
17、重新加載daemon并重新開機docker
systemctl daemon-reload
systemctl restart docker
2376端口開放成功
二、如果idea開放工具要連接配接docker
1、儲存相關用戶端的pem檔案到本地
測試連接配接成功