mirror of
https://github.com/yeasy/docker_practice.git
synced 2026-03-26 19:55:23 +00:00
Remove blank lines after code block markers
This commit is contained in:
yeasy
@@ -30,7 +30,6 @@ $ docker search centos
|
||||
NAME DESCRIPTION STARS OFFICIAL
|
||||
centos The official build of CentOS. 7000+ [OK]
|
||||
```
|
||||
|
||||
> **技巧**：始终优先使用 `OFFICIAL` 标记为 `[OK]` 的镜像，安全性更有保障。
|
||||
|
||||
#### 2. 拉取镜像
|
||||
@@ -38,7 +37,6 @@ centos The official build of CentOS. 7000+ [OK]
|
||||
```bash
|
||||
$ docker pull nginx:alpine
|
||||
```
|
||||
|
||||
#### 3. 推送镜像
|
||||
|
||||
需要先登录：
|
||||
@@ -51,11 +49,9 @@ $ docker login
|
||||
|
||||
...
|
||||
```
|
||||
|
||||
打标签并推送：
|
||||
|
||||
```bash
|
||||
|
||||
## 1. 标记镜像
|
||||
|
||||
$ docker tag myapp:v1 username/myapp:v1
|
||||
@@ -64,7 +60,6 @@ $ docker tag myapp:v1 username/myapp:v1
|
||||
|
||||
$ docker push username/myapp:v1
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
### 6.1.3 限制与配额
|
||||
@@ -113,7 +108,6 @@ $ docker push username/myapp:v1
|
||||
```bash
|
||||
$ echo "dckr_pat_xxxxxxx" | docker login --username username --password-stdin
|
||||
```
|
||||
|
||||
#### 3. 关注镜像漏洞
|
||||
|
||||
Docker Hub 会对官方镜像和付费用户的镜像进行安全扫描。在镜像标签页可以看到漏洞扫描结果。
|
||||
|
||||
@@ -17,7 +17,6 @@
|
||||
```bash
|
||||
$ docker run -d -p 5000:5000 --restart=always --name registry registry
|
||||
```
|
||||
|
||||
这将使用官方的 `registry` 镜像来启动私有仓库。默认情况下，仓库会被创建在容器的 `/var/lib/registry` 目录下。你可以通过 `-v` 参数来将镜像文件存放在本地的指定路径。例如下面的例子将上传的镜像放到本地的 `/opt/data/registry` 目录。
|
||||
|
||||
```bash
|
||||
@@ -26,7 +25,6 @@ $ docker run -d \
|
||||
-v /opt/data/registry:/var/lib/registry \
|
||||
registry
|
||||
```
|
||||
|
||||
### 6.2.2 在私有仓库上传、搜索、下载镜像
|
||||
|
||||
创建好私有仓库之后，就可以使用 `docker tag` 来标记一个镜像，然后推送它到仓库。例如私有仓库地址为 `127.0.0.1:5000`。
|
||||
@@ -38,7 +36,6 @@ $ docker image ls
|
||||
REPOSITORY TAG IMAGE ID CREATED VIRTUAL SIZE
|
||||
ubuntu latest ba5877dc9bec 6 weeks ago 192.7 MB
|
||||
```
|
||||
|
||||
使用 `docker tag` 将 `ubuntu:latest` 这个镜像标记为 `127.0.0.1:5000/ubuntu:latest`。
|
||||
|
||||
格式为 `docker tag IMAGE[:TAG] [REGISTRY_HOST[:REGISTRY_PORT]/]REPOSITORY[:TAG]`。
|
||||
@@ -50,7 +47,6 @@ REPOSITORY TAG IMAGE ID CREATE
|
||||
ubuntu latest ba5877dc9bec 6 weeks ago 192.7 MB
|
||||
127.0.0.1:5000/ubuntu:latest latest ba5877dc9bec 6 weeks ago 192.7 MB
|
||||
```
|
||||
|
||||
使用 `docker push` 上传标记的镜像。
|
||||
|
||||
```bash
|
||||
@@ -64,14 +60,12 @@ b38367233d37: Pushed
|
||||
2aebd096e0e2: Pushed
|
||||
latest: digest: sha256:fe4277621f10b5026266932ddf760f5a756d2facd505a94d2da12f4f52f71f5a size: 1568
|
||||
```
|
||||
|
||||
用 `curl` 查看仓库中的镜像。
|
||||
|
||||
```bash
|
||||
$ curl 127.0.0.1:5000/v2/_catalog
|
||||
{"repositories":["ubuntu"]}
|
||||
```
|
||||
|
||||
这里可以看到 `{"repositories":["ubuntu"]}`，表明镜像已经被成功上传了。
|
||||
|
||||
先删除已有镜像，再尝试从私有仓库中下载这个镜像。
|
||||
@@ -92,7 +86,6 @@ $ docker image ls
|
||||
REPOSITORY TAG IMAGE ID CREATED VIRTUAL SIZE
|
||||
127.0.0.1:5000/ubuntu:latest latest ba5877dc9bec 6 weeks ago 192.7 MB
|
||||
```
|
||||
|
||||
### 6.2.3 配置非 https 仓库地址
|
||||
|
||||
如果你不想使用 `127.0.0.1:5000` 作为仓库地址，比如想让本网段的其他主机也能把镜像推送到私有仓库。你就得把例如 `192.168.199.100:5000` 这样的内网地址作为私有仓库地址，这时你会发现无法成功推送镜像。
|
||||
@@ -117,7 +110,6 @@ REPOSITORY TAG IMAGE ID CREAT
|
||||
]
|
||||
}
|
||||
```
|
||||
|
||||
> 注意：该文件必须符合 `json` 规范，否则 Docker 将不能启动。
|
||||
|
||||
### 6.2.4 其他
|
||||
|
||||
@@ -15,7 +15,6 @@
|
||||
```bash
|
||||
$ openssl genrsa -out "root-ca.key" 4096
|
||||
```
|
||||
|
||||
第二步利用私钥创建 `CA` 根证书请求文件。
|
||||
|
||||
```bash
|
||||
@@ -24,7 +23,6 @@ $ openssl req \
|
||||
-out "root-ca.csr" -sha256 \
|
||||
-subj '/C=CN/ST=Shanxi/L=Datong/O=Your Company Name/CN=Your Company Name Docker Registry CA'
|
||||
```
|
||||
|
||||
> 以上命令中 `-subj` 参数里的 `/C` 表示国家，如 `CN`；`/ST` 表示省；`/L` 表示城市或者地区；`/O` 表示组织名；`/CN` 通用名称。
|
||||
|
||||
第三步配置 `CA` 根证书，新建 `root-ca.cnf`。
|
||||
@@ -35,7 +33,6 @@ basicConstraints = critical,CA:TRUE,pathlen:1
|
||||
keyUsage = critical, nonRepudiation, cRLSign, keyCertSign
|
||||
subjectKeyIdentifier=hash
|
||||
```
|
||||
|
||||
第四步签发根证书。
|
||||
|
||||
```bash
|
||||
@@ -44,20 +41,17 @@ $ openssl x509 -req -days 3650 -in "root-ca.csr" \
|
||||
-extfile "root-ca.cnf" -extensions \
|
||||
root_ca
|
||||
```
|
||||
|
||||
第五步生成站点 `SSL` 私钥。
|
||||
|
||||
```bash
|
||||
$ openssl genrsa -out "docker.domain.com.key" 4096
|
||||
```
|
||||
|
||||
第六步使用私钥生成证书请求文件。
|
||||
|
||||
```bash
|
||||
$ openssl req -new -key "docker.domain.com.key" -out "site.csr" -sha256 \
|
||||
-subj '/C=CN/ST=Shanxi/L=Datong/O=Your Company Name/CN=docker.domain.com'
|
||||
```
|
||||
|
||||
第七步配置证书，新建 `site.cnf` 文件。
|
||||
|
||||
```bash
|
||||
@@ -69,7 +63,6 @@ keyUsage = critical, digitalSignature, keyEncipherment
|
||||
subjectAltName = DNS:docker.domain.com, IP:127.0.0.1
|
||||
subjectKeyIdentifier=hash
|
||||
```
|
||||
|
||||
第八步签署站点 `SSL` 证书。
|
||||
|
||||
```bash
|
||||
@@ -77,7 +70,6 @@ $ openssl x509 -req -days 750 -in "site.csr" -sha256 \
|
||||
-CA "root-ca.crt" -CAkey "root-ca.key" -CAcreateserial \
|
||||
-out "docker.domain.com.crt" -extfile "site.cnf" -extensions server
|
||||
```
|
||||
|
||||
这样已经拥有了 `docker.domain.com` 的网站 SSL 私钥 `docker.domain.com.key` 和 SSL 证书 `docker.domain.com.crt` 及 CA 根证书 `root-ca.crt`。
|
||||
|
||||
新建 `ssl` 文件夹并将 `docker.domain.com.key` `docker.domain.com.crt` `root-ca.crt` 这三个文件移入，删除其他文件。
|
||||
@@ -122,7 +114,6 @@ health:
|
||||
interval: 10s
|
||||
threshold: 3
|
||||
```
|
||||
|
||||
### 6.3.3 生成 http 认证文件
|
||||
|
||||
```bash
|
||||
@@ -133,7 +124,6 @@ $ docker run --rm \
|
||||
httpd:alpine \
|
||||
-Bbn username password > auth/nginx.htpasswd
|
||||
```
|
||||
|
||||
> 将上面的 `username` `password` 替换为你自己的用户名和密码。
|
||||
|
||||
### 6.3.4 编辑 Docker Compose 配置
|
||||
@@ -153,7 +143,6 @@ services:
|
||||
volumes:
|
||||
registry-data:
|
||||
```
|
||||
|
||||
### 6.3.5 修改 Hosts 文件
|
||||
|
||||
编辑 `/etc/hosts`
|
||||
@@ -161,13 +150,11 @@ volumes:
|
||||
```bash
|
||||
127.0.0.1 docker.domain.com
|
||||
```
|
||||
|
||||
### 6.3.6 启动
|
||||
|
||||
```bash
|
||||
$ docker compose up -d
|
||||
```
|
||||
|
||||
这样我们就搭建好了一个具有权限认证、TLS 的私有仓库，接下来我们测试其功能是否正常。
|
||||
|
||||
### 6.3.7 测试私有仓库功能
|
||||
@@ -179,13 +166,11 @@ $ sudo mkdir -p /etc/docker/certs.d/docker.domain.com
|
||||
|
||||
$ sudo cp ssl/root-ca.crt /etc/docker/certs.d/docker.domain.com/ca.crt
|
||||
```
|
||||
|
||||
登录到私有仓库。
|
||||
|
||||
```bash
|
||||
$ docker login docker.domain.com
|
||||
```
|
||||
|
||||
尝试推送、拉取镜像。
|
||||
|
||||
```bash
|
||||
@@ -199,7 +184,6 @@ $ docker image rm docker.domain.com/username/ubuntu:24.04
|
||||
|
||||
$ docker pull docker.domain.com/username/ubuntu:24.04
|
||||
```
|
||||
|
||||
如果我们退出登录，尝试推送镜像。
|
||||
|
||||
```bash
|
||||
@@ -209,7 +193,6 @@ $ docker push docker.domain.com/username/ubuntu:24.04
|
||||
|
||||
no basic auth credentials
|
||||
```
|
||||
|
||||
发现会提示没有登录，不能将镜像推送到私有仓库中。
|
||||
|
||||
### 6.3.8 注意事项
|
||||
|
||||
@@ -10,7 +10,6 @@ $ docker run -d --name nexus3 --restart=always \
|
||||
--mount src=nexus-data,target=/nexus-data \
|
||||
sonatype/nexus3
|
||||
```
|
||||
|
||||
首次运行需等待 3-5 分钟，你可以使用 `docker logs nexus3 -f` 查看日志：
|
||||
|
||||
```bash
|
||||
@@ -23,7 +22,6 @@ Started Sonatype Nexus OSS 3.30.0-01
|
||||
|
||||
-------------------------------------------------
|
||||
```
|
||||
|
||||
如果你看到以上内容，说明 `Nexus` 已经启动成功，你可以使用浏览器打开 `http://YourIP:8081` 访问 `Nexus` 了。
|
||||
|
||||
首次运行请通过以下命令获取初始密码：
|
||||
@@ -33,7 +31,6 @@ $ docker exec nexus3 cat /nexus-data/admin.password
|
||||
|
||||
9266139e-41a2-4abb-92ec-e4142a3532cb
|
||||
```
|
||||
|
||||
首次启动 Nexus 的默认账号是 `admin`，密码则是上边命令获取到的，点击右上角登录，首次登录需更改初始密码。
|
||||
|
||||
登录之后可以点击页面上方的齿轮按钮按照下面的方法进行设置。
|
||||
@@ -110,7 +107,6 @@ server {
|
||||
error_page 500 502 503 504 /50x.html;
|
||||
}
|
||||
```
|
||||
|
||||
### 6.4.5 Docker 主机访问镜像仓库
|
||||
|
||||
如果不启用 SSL 加密可以通过[前面章节](6.2_registry.md)的方法添加非 https 仓库地址到 Docker 的配置文件中然后重启 Docker。
|
||||
@@ -122,5 +118,4 @@ $ openssl s_client -showcerts -connect YourDomainName OR HostIP:443 </dev/null 2
|
||||
$ cat ca.crt | sudo tee -a /etc/ssl/certs/ca-certificates.crt
|
||||
$ systemctl restart docker
|
||||
```
|
||||
|
||||
使用 `docker login YourDomainName OR HostIP` 进行测试，用户名密码填写上面 Nexus 中设置的。
|
||||
|
||||
Reference in New Issue
Block a user