Docker 创建私有仓库

摘要：清除所有处于终止状态的容器访问仓库仓库是集中存放镜像的地方。仓库可以看成是一个具体的项目或目录。是注册服务器地址，是仓库名。生成认证文件编辑修改编辑启动测试私有仓库功能登录到私有仓库尝试推送拉取镜像端口若被占用请尝试用代理

利用ssh pv Linux管道 实现镜像迁移(带进度条)

docker save <镜像名> | bzip2 | pv | ssh <用户名>@<主机名> "cat |docker load"

docker load 与 docker import区别

容器快照文件将丢失所有的历史数据和元数据信息(仅保存容器当时的快照状态)
从容器快照文件导入时可以重新指定标签等元数据信息。
镜像存储文件则将保存完整记录， 体积也要更大。

docker container prune

仓库(Repository)是集中存放镜像的地方。

一个容易混淆的概念是注册服务器(Registry)。

Registry是管理仓库的具体服务器，每个Registry可以有多个Repository，每个Repository下面多个image。

仓库可以看成是一个具体的项目或目录。

d1.dockerpool.com/ubuntu, d1.dockerpool.com是注册服务器地址，ubuntu是仓库名。

需要先注册一个Docker账号

命令行登陆 退出

docker login
docker logout

查找 拉取镜像

docker search
docker pull

推送镜像

用户在登陆后 docker push 将自己的镜像推送到Docker Hub

自动创建

创建并登陆Docker Hub 以及目标网站

在目标网站中连接账户到Docker Hub

在Docker Hub中配置一个自动创建

选取一个目标网站中的项目(需要包含Dockerfile)和分支

指定Dockerfile位置， 并提交创建

容器运行

docker run -d -p 5000:5000 -v /opt/data/registry:/var/lib/registry registry

在私有仓库上传、搜索、下载镜像

docker tag 标记一个镜像，并推送到仓库。比如私有仓库地址为127.0.0.1:5000

格式: docker tag IMAGE[:TAG] [REGISTRY_HOST][:REGISTRY_PORT/]REPOSITORY[:TAG]

docker tag docker.io/mysql:5 127.0.0.1:5000/docker.io/mysql:5

docker push 上传标记的镜像

docker push 127.0.0.1:5000/docker.io/mysql

curl 查看仓库中的镜像

curl 127.0.0.1:5000/v2/_catalog

从私有仓库下载

需要先删除已有镜像
docker  image rm 127.0.0.1:5000/docker.io/mysql:5
docker pull 127.0.0.1:5000/docker.io/mysql:5

注意事项

Docker默认不允许非HTTPS方式推送镜像，可以通过docker配置选项取消这个限制

对于upstar系统(Ubuntu 14.04 Debian7 Wheezy)

编辑/etc/default/docker，在其中的DOCKER_OPTS增加内容
DOCKER_OPTS="--registry-mirror=https://registry.docker-cn.com --insecure-registries=10.9.2.100:5000"

sudo service docker restart

对于systemd系统(Ubuntu16.04+ Debian8+ centos7)

编辑/etc/docker/daemon.json (不存在则新建)

{
    "registry-mirror": [
    "https://registry.docker-cn.com"
    ],
    "insecure-registries": [
    "122.112.207.157:5000"
    ]
}

systemctl restart docker

使用Docker Compose构建，搭建一个拥有权限认证、TLS的私有仓库

使用openssl自行签发docker.domain.com的站点的SSL证书

step1 创建 CA 密钥

openssl genrsa -out "root-ca.key" 4096

step2 利用私钥创建 CA 根证书请求文件

openssl req 
-new -key "root-ca.key" 
-out "root-ca.csr" -sha256 
-subj "/C=CN/ST=Zhejiang/L=Hangzhou/O=eichong/CN=eichong Docker Registry CA"

-subj参数
/C 表示国家 如CN
/ST 表示省
/L 表示城市或地区
/O 表示组织名
/CN 通用名称

step3 配置 CA 根证书，新建root-ca.cnf

[root_ca]
basicConstraints = critical, CA:TRUE, pathlen:1
keyUsage = critical, nonRepudiation, cRLSign, keyCertSign
subjectKeyIdentifier=hash

step4 签发根证书

openssl x509 -req -days 3650 -in "root-ca.csr" 
-signkey "root-ca.key" -sha256 -out "root-ca.crt" 
-extfile "root-ca.cnf" -extensions 
root_ca

step5 生成站点 SSL 私钥

openssl genrsa -out "docker.domain.com.key" 4096

step6 使用私钥生成证书请求文件

openssl req -new -key "docker.domain.com.key" -out "site.csr" -sha256 
-subj "/C=CN/ST=Zhejiang/L=Hangzhou/O=eichong/CN=docker.domain.com"

step7 配置证书，新建 site.cnf 文件

[server]
authorityKeyIdentifier=keyid, issuer
basicConstraints = critical, CA:FALSE
extendedKeyUsage=serverAuth
keyUsage = critical, digitalSignature, keyEncipherment
subjectAltName = DNS:docker.domain.com, IP:127.0.0.1
subjectKeyIdentifier=hash

step8 签署站点 SSL 证书

openssl x509 -req -days 750 -in "site.csr" -sha256 
-CA "root-ca.crt" -CAkey "root-ca.key" -CAcreateserial 
-out "docker.domain.com.crt" -extfile "site.cnf" -extensions server

经过以上步骤，就拥有了docker.domain.com的网站SSL私钥 docker.domain.com.key 和 SSL证书 docker.domain.com.crt
新建ssl文件夹将 docker.domain.com.key docker.domain.com.crt 移入，其他删除

配置私有仓库

 私有仓库默认的配置文件位于 /etc/docker/registry/config.yml ，我们先在本地编辑
 config.yml ，之后挂载到容器中。

version: 0.1
log:
    accesslog:
        disabled: true
    level: debug
    formatter: text
    fields:
        service: registry
        environment: staging
storage:
    delete:
        enabled: true
    cache:
        blobdescriptor: inmemory
    filesystem:
        rootdirectory: /var/lib/registry
auth:
    htpasswd:
        realm: basic-realm
        path: /etc/docker/registry/auth/nginx.htpasswd
http:
    addr: :443
    host: https://docker.domain.com
    headers:
        X-Content-Type-Options: [nosniff]
    http2:
        disabled: false
    tls:
        certificate: /etc/docker/registry/ssl/docker.domain.com.crt
        key: /etc/docker/registry/ssl/docker.domain.com.key
health:
    storagedriver:
        enabled: true
        interval: 10s
threshold: 3

生成 http 认证文件

 mkdir auth

 docker run --rm 
 --entrypoint htpasswd registry 
 -Bbn username password > auth/nginx.htpasswd

编辑 docker-compose.yml

version: "3"

services:
    registry:
        image: registry
        ports:
            - "443:443"
        volumes:
            - ./:/etc/docker/registry
            - registry-data:/var/lib/registry
volumes:
    registry-data:

修改 hosts

编辑 /etc/hosts

docker.domain.com 127.0.0.1

启动

docker-compose up -d

测试私有仓库功能

登录到私有仓库

docker login docker.domain.com

尝试推送、拉取镜像

docker pull ubuntu:17.10
docker tag ubuntu:17.10 docker.domain.com/username/ubuntu:17.10
docker push docker.domain.com/username/ubuntu:17.10
docker image rm docker.domain.com/username/ubuntu:17.10
docker pull docker.domain.com/username/ubuntu:17.10

443端口若被占用,请尝试用Nginx代理