多种方法创建docker registry

本文主要是介绍多种方法创建docker registry，希望对大家解决编程问题提供一定的参考价值，需要的开发者们随着小编来一起学习吧！

 搭建Docker私仓，可以使用docker官方提供的registry镜像。该镜像目前有2.0，2.3和2.3.1版本。它只与1.6.0以上版本的docker兼容。搭建私仓的步骤如下：

 

一：无代理、无认证的registry

1：下载registry镜像：

         这里必须加上标签”:2”，否则的话，不加标签的registry，实际上下载的是标签为”latest”的registry镜像，则不能使用下面的nginx代理镜像：containersol/docker-registry-proxy

 

2：创建registry容器：

         在registry:2创建的私有仓库中，上传的镜像保存在容器的/var/lib/registry目录下。创建registry:2的容器时，会自动创建一个数据卷(Data Volumes)，数据卷对应的宿主机下的目录一般为：/var/lib/docker/volumes/XXX/_data。

         可以在创建registry:2的容器时，通过-v参数，修改这种对应关系：

         除了可以将数据保存在当前主机的文件系统上，registry也支持其他基于云的存储系统，比如S3，Microsoft Azure, Ceph Rados, OpenStack Swift and Aliyun OSS等。可以在配置文件中进行配置：https://github.com/docker/distribution/blob/master/docs/configuration.md#storage

 

         以上其实已经创建好了一个docker私有仓库，但是这时候向其push或者pull时还是有问题的：

         这是因为从docker1.3.2版本开始，使用registry时，必须使用TLS保证其安全。

 

         最简单的解决办法是，在需要连接该私有仓库的所有客户端docker宿主机上，修改dockerdaemon的配置文件，增加insecure-registry参数。

       比如，对于Redhat7的宿主机来说，新增文件/etc/systemd/system/docker.service.d/docker.conf，其内容配置如下：

         然后，重启docker：

         此时就可以使用该私有仓库了。

 

         但是，上面这种配置方式既不安全（所有人都可以push或pull），也很不方便（使用该私有仓库的所有宿主机上都这样进行配置）。

         下面是带有认证的registry私仓构建过程：

 

二：无代理，有认证的registry

         使用TLS认证registry容器时，必须有证书。一般情况下，是要去认证机构购买签名证书。这里使用openssl生成自签名的证书。

 

1：生成自签名证书

         一般情况下，证书只支持域名访问，要使其支持IP地址访问，需要修改配置文件openssl.cnf。

         在Redhat7系统中，文件所在位置是/etc/pki/tls/openssl.cnf。在其中的[ v3_ca]部分，添加subjectAltName选项：

         接下来就是生成自签名的证书：

         这里的服务器域名写成”192.168.1.104:5000”，后续就使用该地址访问私仓。其余项直接回车即可。

 

2：创建带有TLS认证的registry容器

3：配置客户端宿主机

         目前，已经搭建好了一个registry私有仓库了。但是，访问该私仓还是会报错：

         这是因为客户端宿主机上没有相应的证书。需要把registry所在主机上，刚生成的证书：

/opt/docker/registry/certs/domain.crt

         复制到客户端宿主机上的：

/etc/docker/certs.d/192.168.1.104:5000/ca.crt

 

         之后，就可以使用该私仓了：

         更好的方式是使用nginx代理，由nginx提供https的ssl的认证和basicauthentication。方法如下：

 

三：nginx代理，域名访问的registry

1：生成自签名证书：

         这里的服务器域名写成”hh.registry.com”，其余项直接回车即可。

 

2：创建能够访问仓库的用户名和密码

         这里的用户名和密码都是admin

 

3：运行nginx

         这里使用容器containersol/docker-registry-proxy运行nginx：

         注意，这里的环境变量SERVER_NAME也要设置成”hh.registry.com”.

 

         目前，就已经搭建好了一个registry私有仓库了。但是，还需要在使用它的客户端宿主机执行以下的操作。比如在私有仓库所在的主机上使用它，也要执行以下步骤：

 

4：修改/etc/hosts文件，增加以下内容，以使客户端宿主机可以解析域名”hh.registry.com”

5：复制证书

         这里是在registry所在主机上进行的操作。如果是其他docker宿主机，需要远程复制该crt文件。

 

         客户端宿主机配置好以后，通过下面的方式验证私有仓库的可用性：

6：列出私有仓库上的所有镜像

7：登陆

8：pull镜像

9：push镜像

10：再次列出私有仓库中的所有镜像

 

四：nginx代理，IP访问的registry

         以上的步骤中，访问私仓只能使用域名”hh.registry.com”，如果使用IP访问，则会报错：

         如果想用IP地址访问，则执行以下的步骤：

1：在文件/etc/pki/tls/openssl.cnf的[ v3_ca ]部分，添加subjectAltName选项

        

2：重新生成证书

         这里的服务器域名还是写成”hh.registry.com”即可。其余项直接回车即可。

 

3：创建能够访问仓库的用户名和密码

         这里的用户名和密码都是admin

 

4：运行nginx容器

         搭建好registry私有仓库后，在需要访问该私仓的客户端docker宿主机上，无需修改/etc/hosts文件，直接将registry主机上的证书，复制成客户端docker宿主机上的/etc/docker/certs.d/192.168.1.104/ca.crt文件。

         客户端docker宿主机配置好以后，验证步骤如下：

 

参考：

https://docs.docker.com/registry/

https://hub.docker.com/r/chalimartines/cdh5-pseudo-distributed/

http://www.pangxie.space/docker/353

https://docs.docker.com/registry/insecure/

http://www.tianmaying.com/tutorial/docker-registry

这篇关于多种方法创建docker registry的文章就介绍到这儿，希望我们推荐的文章对编程师们有所帮助！

---