Docker Registry部署镜像私有仓库及鉴权认证
Docker Registry部署镜像私有仓库及鉴权认证
关注我，设置为"星标"，更多干货不错过~
一、Docker Registry是什么？
Docker Registry 是一个无状态、高度可扩展的服务器端应用程序，用于存储和分发 Docker镜像。Docker Registry是基于Apache 许可证开源的，它是目前应用最广泛的镜像仓库管理程序，所有的源码在github上开源，如果感兴趣的话可以clone相关的代码进行深层次的学习。
为什么需要使用Docker Registry？
- 需要对镜像进行严格统一管理；
- 需要拥有镜像的分发渠道；
- 并且将镜像管理和分发集成到内部统一开发流程中。
例如搭建内部CI平台，自动构建镜像、存储镜像和分发镜像，实现一键构建，打通从开发测试环境到生产环境。
二、Docker Registry部署私有仓库
部署Docker Registry之前先安装Docker，我的环境是Centos，直接使用以下命令：
[root@node1 docker]# yum update
[root@node1 docker]# yum install docker
[root@node1 docker]# docker version
Client:
Version: 1.13.1
API version: 1.26
Package version:
Cannot connect to the Docker daemon at unix:///var/run/docker.sock. Is the docker daemon running?
你可以创建专门的docker用户进行操作，更加安全，刚创建的用户不在sudo user里面，可以通过以下方式设置,这里为了方便，我使用了root用户。
chmod u+w /etc/sudoers
vim /etc/sudoers
//填入以下内容
docker ALL=(ALL) ALL
安装完毕以后使用以下命令查看docker运行状态：
[root@node1 docker]# sudo systemctl status docker
● docker.service - Docker Application Container Engine
Loaded: loaded (/usr/lib/systemd/system/docker.service; disabled; vendor preset: disabled)
Active: active (running) since Fri 2023-03-10 18:03:18 CST; 11s ago
Docs: http://docs.docker.com
Main PID: 47284 (dockerd-current)
CGroup: /system.slice/docker.service
├─47284 /usr/bin/dockerd-current --add-runtime docker-runc=/usr/li...
└─47290 /usr/bin/docker-containerd-current -l unix:///var/run/dock...
Mar 10 18:03:17 node1 dockerd-current[47284]: time="2023-03-10T18:03:17.8383..."
Mar 10 18:03:17 node1 dockerd-current[47284]: time="2023-03-10T18:03:17.8422..."
Mar 10 18:03:17 node1 dockerd-current[47284]: time="2023-03-10T18:03:17.8484..."
Mar 10 18:03:17 node1 dockerd-current[47284]: time="2023-03-10T18:03:17.8776..."
Mar 10 18:03:18 node1 dockerd-current[47284]: time="2023-03-10T18:03:18.0211..."
Mar 10 18:03:18 node1 dockerd-current[47284]: time="2023-03-10T18:03:18.0656..."
Mar 10 18:03:18 node1 dockerd-current[47284]: time="2023-03-10T18:03:18.0906..."
Mar 10 18:03:18 node1 dockerd-current[47284]: time="2023-03-10T18:03:18.0917...1
Mar 10 18:03:18 node1 dockerd-current[47284]: time="2023-03-10T18:03:18.1144..."
Mar 10 18:03:18 node1 systemd[1]: Started Docker Application Container Engine.
Hint: Some lines were ellipsized, use -l to show in full.
以上可以看到状态是active。
要部署一个Docker Registry，如果使用容器部署，且使用默认配置，则最简单的使用以下命令就可以将Docker Registry运行起来：
docker run -d -p 5000:5000 --name registry registry:2
要使用Docker Registry部署一个镜像私有仓库，需要遵循以下步骤：
2.1、Docker Registry安装
可以使用以下命令从Docker Hub上下载Docker Registry的官方镜像：
docker pull registry:2
2.2、Docker Registry配置
Docker Registry的配置文件使用YAML格式编写，可以通过修改配置文件来启用鉴权和认证机制，以及配置存储方式等。以下是一个示例配置文件：
version: 0.1
log:
accesslog: /var/log/registry/access.log
errorlog: /var/log/registry/error.log
storage:
filesystem:
rootdirectory: /var/lib/registry
http:
addr: :5000
headers:
X-Content-Type-Options: [nosniff]
auth:
htpasswd:
realm: registry
path: /auth/htpasswd
在上面的配置文件中，storage.filesystem.rootdirectory参数指定了存储镜像的目录，http.addr参数指定了Docker Registry监听的端口号，auth.htpasswd.realm参数指定了认证域的名称，auth.htpasswd.path参数指定了存储用户名和密码的文件路径。
2.3、启动Docker Registry
可以使用以下命令启动Docker Registry：
docker run -d \
-p 5000:5000 \
--restart=always \
--name registry \
-v /path/to/registry:/var/lib/registry \
-v /path/to/config.yml:/etc/docker/registry/config.yml \
registry:2
其中，-p参数指定了Docker Registry监听的端口号，-v参数指定了存储镜像和配置文件的目录，registry:2参数指定了使用的Docker Registry镜像版本。
2.4、Docker客户端配置
为了使用刚刚部署的镜像私有仓库，需要在Docker客户端中配置Docker Registry的地址和认证信息。可以使用以下命令配置Docker客户端：
docker login registry.example.com:5000
其中，registry.example.com:5000参数指定了Docker Registry的地址和端口号。
2.5、向Docker Registry上传和下载镜像
可以使用以下命令上传和下载镜像：
docker tag image-name registry.example.com:5000/image-name
docker push registry.example.com:5000/image-name
docker pull registry.example.com:5000/image-name
其中，image-name参数指定了要上传和下载的镜像名称。注意，在上传和下载镜像时，需要使用Docker Registry的完整地址和端口号。
以上就是使用Docker Registry部署镜像私有仓库的步骤，可以根据实际需求进行配置和使用。
三、Docker Registry鉴权和认证
Docker Registry是一个中央存储和分发Docker镜像的服务器，其支持多种鉴权和认证机制，包括基本认证、Bearer Token认证、LDAP认证等。下面我们详细介绍其中的几种常用认证和鉴权机制，并给出相应的代码配置示例。
3.1、基本认证
基本认证是一种简单的HTTP认证机制，它通过在HTTP头中发送Base64编码的用户名和密码来验证用户的身份。Docker Registry支持基本认证，可以通过配置文件来启用。以下是一个示例配置文件：
version: 0.1
log:
accesslog: /var/log/registry/access.log
errorlog: /var/log/registry/error.log
storage:
filesystem:
rootdirectory: /var/lib/registry
http:
addr: :5000
headers:
X-Content-Type-Options: [nosniff]
auth:
htpasswd:
realm: registry
path: /auth/htpasswd
在上面的配置文件中，auth.htpasswd.realm参数表示基本认证领域的名称，auth.htpasswd.path参数表示包含用户名和密码的文件路径。我们可以使用htpasswd命令来创建用户名和密码文件，例如：
$ htpasswd -Bbn user1 password1 > /path/to/htpasswd
3.2、Bearer Token认证
Bearer Token认证是一种基于OAuth2协议的认证机制，它使用访问令牌来验证用户的身份。Docker Registry支持Bearer Token认证，可以通过配置文件来启用。以下是一个示例配置文件：
version: 0.1
log:
accesslog: /var/log/registry/access.log
errorlog: /var/log/registry/error.log
storage:
filesystem:
rootdirectory: /var/lib/registry
http:
addr: :5000
headers:
X-Content-Type-Options: [nosniff]
auth:
token:
realm: registry
service: registry
issuer: registry
rootcertbundle: /path/to/root.crt
在上面的配置文件中，auth.token.realm参数表示Bearer Token认证领域的名称，auth.token.service和auth.token.issuer参数表示服务名称和颁发者名称。auth.token.rootcertbundle参数表示根证书的路径，这里可以使用自签名的证书或CA签名的证书。
3.3、LDAP认证
LDAP认证是一种基于Lightweight Directory Access Protocol（LDAP）的认证机制，它使用LDAP服务器中的用户信息来验证用户的身份。Docker Registry支持LDAP认证，可以通过配置文件来启用。以下是一个示例配置文件：
version: 0.1
log:
accesslog: /var/log/registry/access.log
errorlog: /var/log/registry/error.log
storage:
filesystem:
rootdirectory: /var/lib/registry
http:
addr: :5000
headers:
X-Content-Type-Options: [nosniff]
auth:
ldap:
endpoint: ldap://ldap.example.com:389
binddn: cn=admin,dc=example,dc=com
bindpassword: password
searchbase: ou=people,dc=example,dc=com
searchfilter: (uid=%s)
在上面的配置文件中，auth.ldap.endpoint参数表示LDAP服务器的地址和端口号，auth.ldap.binddn和auth.ldap.bindpassword参数表示LDAP管理员的身份信息，auth.ldap.searchbase参数表示用户信息存储在LDAP服务器上的基础目录，auth.ldap.searchfilter参数表示查询用户信息的过滤器。
以上是常用的几种Docker Registry的鉴权和认证机制，不同的认证机制在配置文件中的参数有所不同。可以根据实际需求选择相应的认证机制并进行配置。
腾讯云开发者
