docker registry使用指南

作者: wangfeiq | 来源:发表于2021-12-18 19:43 被阅读0次

docker安装和发布jar
docker registry使用指南
Docker Registry私有仓库介绍与部署章
docker私有仓库registry的使用
基于百度云 BOS 搭建私有 Docker Registry
docker私有仓库搭建并且配置仓库认证
Docker-registry-私有仓库
安装Docker相关插件
私有docker registry搭建
docker registry搭建及配置用户认证

docker registry的作用就是存储我们的镜像。通常情况下我们可以使用docker hub来存储，不过如果是在公司内部使用，不想将镜像公开，可以手动搭建一个本地registry，如docker registry或harbor。本文简单介绍一下docker registry的搭建使用及常用配置。

基础服务

搭建registry最基础的命令为：
docker run -d -v /data/registry:/var/lib/registry -p 5000:5000 registry:2

registry定义的对外服务端口为5000，我们也可以通过环境变量REGISTRY_HTTP_ADDR来修改服务端口。

docker run -d \
  -e REGISTRY_HTTP_ADDR=0.0.0.0:5001 \
  -p 5001:5001 \
  registry:2

如果要使用其他存储，如 Amazon S3 bucket, Google Cloud Platform或其他docker支持的存储，也可以通过环境变量单独配置（推荐用yaml的形式来配置）。
注：私有仓库，推送镜像时，要在/etc/docker/daemon.json或C:\ProgramData\docker\config\daemon.json文件中添加以下配置，并重启docker。

{
    "insecure-registries":[
        "xxx.xxx.xxx.xx:port" #仓库IP地址和端口，或者是域名
    ]
}

带TLS的registry

证书制作
证书申请流程：先生成一个私钥，然后用私钥生成证书请求(证书请求里应含有公钥信息)，再利用证书服务器的CA根证书来签发证书。

mkdir -p /root/docker/auth/certificates;
cd /root/docker/auth/certificates;
// 生成根证书
// 生成CA私钥（.key）-->生成CA证书请求（.csr）-->自签名得到根证书（.crt）（CA给自已颁发的证书）。
openssl genrsa -out ca.key 2048
openssl req -new -key ca.key -out ca.csr  // 请求中的State or Province Name和Common Name一定要填写。
openssl x509 -days 3650 -in ca.csr -signkey ca.key -out ca.crt
cat ca.crt ca.key > ca.pem // 生成pem格式的证书

// 生成服务端证书
// 生成私钥（.key）-->生成证书请求（.csr）-->用CA根证书签名得到证书（.crt）
openssl genrsa -out server.key 1024  // 创建过程中需要输入密码
openssl req -new -key server.key -out server.csr // 需要输入上一步创建的密码，State or Province Name地址要在ca证书中，Common Name (eg, your name or your server's hostname)要填写。
openssl ca -in server.csr -out server.crt -keyfile ca.key -cert ca.crt

创建服务端证书的第三步，可能会报错unable to open '/etc/pki/CA/index.txt'，需要手动创建该文件touch /etc/pki/CA/index.txt，并创建一个序列文件来标记CA证书echo '1000' > /etc/pki/CA/serial。
证书生成也可以参考：https://www.jianshu.com/p/1163d1ae8029

使用TLS证书起registry服务

docker run -d \
  --restart=always \
  --name registry \
  -v /root/docker/registry:/var/lib/registry \
  -v /root/docker/auth/certificates:/certs \
  -e REGISTRY_HTTP_ADDR=0.0.0.0:443 \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/server.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/server.key \
  -p 443:443 \
  registry:2

基本身份认证

为了提高regsitry的安全性，可以开启访问控制，用户需要登陆后才可以使用registry。

首先，创建一个密码文件，里面包含一条用户名密码(stark/catherine)。

mkdir /root/docker/auth
docker run \
  --entrypoint htpasswd \
  httpd:2 -Bbn stark catherine > /root/docker/auth/htpasswd

windows系统下需要修改编码格式：
docker run --rm --entrypoint htpasswd httpd:2 -Bbn testuser testpassword | Set-Content -Encoding ASCII auth/htpasswd
然后启动容器，带上用户认证。

docker run -d \
  -p 5000:5000 \
  --restart=always \
  --name registry \
  -v /root/docker/registry:/var/lib/registry \
  -v "/root/docker/auth:/auth" \
  -e "REGISTRY_AUTH=htpasswd" \
  -e "REGISTRY_AUTH_HTPASSWD_REALM=Registry Realm" \
  -e REGISTRY_AUTH_HTPASSWD_PATH=/auth/htpasswd \
  -v "/root/docker/auth/certificates:/certs" \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/server.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/server.key \
  registry:2

配置一个域名解析：echo 127.0.0.1 myregistry.com>> /etc/hosts，然后使用docker登录docker login myregistry.com:5000，用户名/密码就是前面配置的stark/catherine。

注：使用身份认证，建议开启TLS，否则登录信息明文传输（header中），一样不安全。

x509报错解决：x509报错通常就是自签证书没有加入到docker client所在host的信任证书中，手动加入即可。对于linux用户，只需要拷贝根证书文件到/etc/docker/certs.d/myregistrydomain.com:5000/ca.crt中即可。

最后，也可以在浏览器中访问https://localhost:5000/v2/_catalog或是https://localhost:5000/v2/docker/registry/tags/list查看仓库信息。

更高级的身份认证

以上只是最简单的用户认证，只能使用我们预先定义好的用户来访问。

我们也可以在regsitry之前使用一个代理，来实现更高级的身份认证；或者将registry集成到我们自己的身份认证和访问控制系统中，由我们的鉴权服务来签发token给用户，然后用户使用签发的token访问我们的registry。harbor就提供了这样一整套服务，如果有此方面的需求，可以考虑使用harbor。

通过yaml配置docker registry服务

不知到为啥，容器起来了，但访问不了

编写YAML配置文件

version: 0.1
storage:
  filesystem:
    rootdirectory: /var/lib/registry # docker镜像在容器内的存储位置。
    maxthreads: 100
  cache: # 可以是redis或inmemory，加速层 metadata（layerinfo/blobdescriptor）的读取。
    blobdescriptor: inmemory
auth:
  htpasswd:
    realm: basic-realm
    path: /auth/htpasswd

http:
  addr: localhost:5000 # registry服务的地址。
  net: tcp
  tls:
    certificate: /auth/certificates/server.crt # x509公钥的绝对路径
    key: /auth/certificates/server.key # x509私钥的绝对路径

使用该yaml文件起docker registry容器。假设我们的yaml文件位于/root/docker/config目录下。

docker run -d --restart=always \
             -v /root/docker/config/config.yml:/etc/docker/registry/config.yml \
             -v /root/docker/auth:/auth \
             -p 5000:5000 \
             -v /root/docker/registry:/var/lib/registry \
             registry:2

完整的配置选项

完整的配置选项参考。
配置文件和环境变量的对应关系。配置文件中的内容为：

version: 0.1
storage:
  filesystem:
    rootdirectory: /var/lib/registry

上述配置文件如果通过环境变量来配置，则对应的环境变量为：
REGISTRY_STORAGE_FILESYSTEM_ROOTDIRECTORY=/var/lib/registry
格式为REGISTRY_variable，其中variable为配置的变量，通过_连接yaml文件中的各层变量得到。

常用的配置

后端存储
registry支持的后端存储有filesystem（本地存储）, azure, gcs, s3, swift, oss, inmemory。存储只能配置一个，否则会出错。inmemory表示存储在内存中，仅供测试使用。使用本地存储时，不建议使用windows本地的存储，因为windows对路径长度有限制。
完整的配置文件及其说明如下：

storage:
  filesystem:
    rootdirectory: /var/lib/registry
  azure:
    accountname: accountname
    accountkey: base64encodedaccountkey
    container: containername
  gcs:
    bucket: bucketname
    keyfile: /path/to/keyfile
    credentials:
      type: service_account
      project_id: project_id_string
      private_key_id: private_key_id_string
      private_key: private_key_string
      client_email: client@example.com
      client_id: client_id_string
      auth_uri: http://example.com/auth_uri
      token_uri: http://example.com/token_uri
      auth_provider_x509_cert_url: http://example.com/provider_cert_url
      client_x509_cert_url: http://example.com/client_cert_url
    rootdirectory: /gcs/object/name/prefix
  s3:
    accesskey: awsaccesskey
    secretkey: awssecretkey
    region: us-west-1
    regionendpoint: http://myobjects.local
    bucket: bucketname
    encrypt: true
    keyid: mykeyid
    secure: true
    v4auth: true
    chunksize: 5242880
    multipartcopychunksize: 33554432
    multipartcopymaxconcurrency: 100
    multipartcopythresholdsize: 33554432
    rootdirectory: /s3/object/name/prefix
  swift:
    username: username
    password: password
    authurl: https://storage.myprovider.com/auth/v1.0 or https://storage.myprovider.com/v2.0 or https://storage.myprovider.com/v3/auth
    tenant: tenantname
    tenantid: tenantid
    domain: domain name for Openstack Identity v3 API
    domainid: domain id for Openstack Identity v3 API
    insecureskipverify: true
    region: fr
    container: containername
    rootdirectory: /swift/object/name/prefix
  oss:
    accesskeyid: accesskeyid
    accesskeysecret: accesskeysecret
    region: OSS region name
    endpoint: optional endpoints
    internal: optional internal endpoint
    bucket: OSS bucket
    encrypt: optional data encryption setting
    secure: optional ssl setting
    chunksize: optional size valye
    rootdirectory: optional root directory
  inmemory:
  delete:  // 表示允许通过digest删除镜像blob和manifest。（删除镜像的时候同时删除对应的layer?）
    enabled: false
  cache: // 可以是redis或inmemory，加速层 metadata（layerinfo/blobdescriptor）的读取。
    blobdescriptor: inmemory
  maintenance:
    uploadpurging: // 定期清理超过age的无效文件（夹）
      enabled: true
      age: 168h
      interval: 24h
      dryrun: false
    readonly:  // 设置registry只读，通常在后端存储gc的时候会开启。
      enabled: false
  redirect: // 不经过registry直接传输数据到后端存储
    disable: false

用户认证
用户认证支持silly, token, htpasswd中的一个或者不配置。silly实际上不认证，只要请求头中有Authorization字段就直接通过；使用token认证的认证流程参考；使用htpasswd，需要事先准备好密码文件，如果新增用户，需要重启registry来加载。

auth:
  silly: // 不推荐，只要请求头中带有Authorization 就认证通过。
    realm: silly-realm
    service: silly-service
  token:
    realm: token-realm // realm为提供token签发服务的服务地址
    service: token-service // service为registry的名称或域名？表示registry在token签发服务中注册的域名。
    issuer: registry-token-issuer // token的签发者。签发着会在token中写入，且必须与此处的值相匹配。
    rootcertbundle: /root/certs/bundle // 根证书所在的绝对路径，路径下必须存在证书的公钥。
  htpasswd:
    realm: basic-realm
    path: /path/to/htpasswd // 密码文件，如果不存在，则自动创建一个，并添加一个默认用户，并将密码打印到stdout。该文件只在registry启动的时候加载一次，支持的加密方式为bcrypt。

token认证流程简图：

image.png

HTTP配置

http:
  addr: localhost:5000 // registry服务的地址。根据下面net的不同，配置为ip:port或unix socket文件。
  net: tcp // tcp或unix。
  prefix: /my/nested/registry/ // 如果服务不是运行在跟路径下（ip:port后，还带有的一些其他路径），需要补充上该路径，前后都要带"/"。一般以docker容器方式启动的regsitry不需要配置。
  host: https://myregistryaddress.org:5000 // 对外提供服务的URL地址。
  secret: asecretforlocaldevelopment
  relativeurls: false 
  draintimeout: 60s // registry收到停止信号后，等待连接结束的时间。
  tls:
    certificate: /path/to/x509/public // x509公钥的绝对路径
    key: /path/to/x509/private // x509私钥的绝对路径
    clientcas: // x509 ca证书文件列表，绝对路径
      - /path/to/ca.pem
      - /path/to/another/ca.pem
    minimumtls: tls1.2 // 支持的tls版本
    ciphersuites: // 加密算法
      - TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384
      - TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384
    letsencrypt: // 可选，使用let's encrypt的证书
      cachefile: /path/to/cache-file
      email: emailused@letsencrypt.com
      hosts: [myregistryaddress.org]
  debug: // debug信息获取地址
    addr: localhost:5001
  prometheus：
    enabled: false
    path: /metrics // 通过上面debug定义的地址，获取prometheus监控信息。localhost:5001/metrics
  headers: // response中需要包含的header
    X-Content-Type-Options: [nosniff] // 不要解析为HTML？？
  http2:
    disabled: false // 是否支持http2

中间件
日志
通知提醒：发送webhook通知，参考。
redis：配置如何连接到redis服务。
健康检查
proxy： proxy的作用是将该registry作为docker hub的二级缓存。只允许拉取镜像，无法推送镜像。如果指定了用户名和密码，则可以通过该用户名密码拉取docker hub的私有仓库。

docker安装和发布jar
docker使用指南基本的Dockerfile文件，registry当前目录下的jar，8761jar要启动的端口
docker registry使用指南
docker registry的作用就是存储我们的镜像。通常情况下我们可以使用docker hub[https:/...
Docker Registry私有仓库介绍与部署章
目录 Docker Registry 介绍 Docker Registry 部署 1. Docker Regist...
docker私有仓库registry的使用
docker私有仓库registry的使用 registry的安装关于docker registry的安装，可以...
基于百度云 BOS 搭建私有 Docker Registry
基于百度云 BOS 搭建私有 Docker Registry Docker Registry 作为 Docker ...
docker私有仓库搭建并且配置仓库认证
什么是Docker Registry: Docker Registry由三个部分组成：index，registry...
Docker-registry-私有仓库
Registry node docker pull registry #下载registry镜像...
安装Docker相关插件
一、安装docker私服（Docker Registry）下载镜像Docker Registry 运行私有库Re...
私有docker registry搭建
服务器端搭建docker registry 下载registry镜像运行docker registry 客户端 ...
docker registry搭建及配置用户认证
搭建Registry 服务器ip为：172.16.77.71 安装Docker Registry，Docker版本...

docker registry使用指南

基础服务

带TLS的registry

基本身份认证

更高级的身份认证

通过yaml配置docker registry服务

完整的配置选项

常用的配置

相关文章

docker安装和发布jar

docker registry使用指南

Docker Registry私有仓库介绍与部署章

docker私有仓库registry的使用

基于百度云 BOS 搭建私有 Docker Registry

docker私有仓库搭建并且配置仓库认证

Docker-registry-私有仓库

安装Docker相关插件

私有docker registry搭建

docker registry搭建及配置用户认证

网友评论

延伸阅读

深度阅读

栏目导航

热点阅读