码迷,mamicode.com
首页 > Web开发 > 详细

对docker私有仓库nexus做https

时间:2019-06-15 10:01:47      阅读:291      评论:0      收藏:0      [点我收藏+]

标签:start   log   send   login   col   md5   listen   mic   connect   

背景

开启 HTTPS 方式大概分为两种,一种为Nexus 服务本身开启代理,另外一种使用 Nginx 进行反向代理实现 HTTPS, 由于我使用的方式是使用 Docker 进行的Nexus 的配置, 故使用第二种方式 Nginx反向代理实现各个仓库的 HTTPS。

操作

一、制作自签证书

使用https://github.com/Fishdrowned/ssl,使用脚本自动生成需要的域名证书。(需要在hosts文件给定域名的解析地址)

[root@k8s ~]# cat /etc/hosts
10.22.1.22    best-docker.com

 

二、nginx反向代理https

将证书配置在nginx服务器上,并在nginx配置中添加如下(docker-practice里的)

upstream register
{
    server "YourHostName OR IP":5001; #端口为上面添加的私有镜像仓库是设置的 HTTP 选项的端口号
    check interval=3000 rise=2 fall=10 timeout=1000 type=http;
    check_http_send "HEAD / HTTP/1.0\r\n\r\n";
    check_http_expect_alive http_4xx;
}

server {
    server_name YourDomainName;#如果没有 DNS 服务器做解析,请删除此选项使用本机 IP 地址访问
    listen 443 ssl;
    ssl_certificate key/example.com.bundle.crt;
    ssl_certificate_key key/example.com.key.pem;
    ssl_session_timeout 5m;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
    ssl_ciphers HIGH:!aNULL:!MD5;
    ssl_prefer_server_ciphers on;
    large_client_header_buffers 4 32k;
    client_max_body_size 300m;
    client_body_buffer_size 512k;
    proxy_connect_timeout 600;
    proxy_read_timeout 600;
    proxy_send_timeout 600;
    proxy_buffer_size 128k;
    proxy_buffers 4 64k;
    proxy_busy_buffers_size 128k;
    proxy_temp_file_write_size 512k;
    location / {
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Port $server_port;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection $connection_upgrade;
        proxy_redirect off;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_pass http://register;
        proxy_read_timeout 900s;
    } 
    error_page 500 502 503 504 /50x.html;
}

 

注意上述nginx的upstream配置的端口如果是docker-group端口,则该域名只能pull不能push;如果要push私有仓库,则需要另外配置docker-hosted端口,然后代理该端口,才能push。

技术图片

三、客户端配置

(1)、添加证书

将公钥放在/etc/pki/ca-trust/source/anchors/下,然后运行命令,更新信任ca。

cp xxxx.com.bundle.crt /etc/pki/ca-trust/source/anchors/
#运行命令,更新信任ca
update-ca-trust

(2)、配置docker的镜像仓库

vim /etc/docker/daemon.json

{
    "registry-mirrors": [
        "https://registry.best-docker.com"
    ]
}

 然后

#重启docker
systemctl restart docker

 

如果对nexus的hosted端口做了https代理,假设域名为hub.best-docker.com,则直接在客户端如下就可以push:

docker login hub.best-docker.com
docker tag nginx:latest hub.best-docker.com/test/nginx:0.1 docker push hub.best-docker.com/test/nginx:0.1

 

四、nexus的pull/push坑

nexus配置的仓库类型只有hosted可以push,其他的都不能push,但是三种类型仓库都可以pull。

FAQ:

1、push 镜像到私有仓库报错: error parsing HTTP 404 response body: invalid character ‘<‘ looking for beginning of value:

技术图片

 

该问题可能是因为往不能push的docker-group上执行push导致,只需要push地址修改为docker-host的地址即可push成功。

参考:

https://blog.csdn.net/u011607971/article/details/86700855

对docker私有仓库nexus做https

标签:start   log   send   login   col   md5   listen   mic   connect   

原文地址:https://www.cnblogs.com/MakeInstall/p/11025599.html

(0)
(0)
   
举报
评论 一句话评论(0
登录后才能评论!
© 2014 mamicode.com 版权所有  联系我们:gaon5@hotmail.com
迷上了代码!