Dockerデーモンへのリモートアクセスを設定する方法[詳細ガイド]

次の手順では、サーバーとクライアントの証明書と秘密鍵を生成します。

認証局

トランザクションを簡単にするために、クライアントマシンを使用してすべてのファイルを生成します。必要に応じて、そのために別のマシンを使用できます。 CA証明書は、自己署名証明書に他なりません。

ただし、最初に、CAの秘密鍵を生成する必要があります。これを行うには、次のコマンドを使用します

openssl genrsa -aes256 -out ca-key.pem 4096

コマンドを分解してみましょう：

• genrsa ：このオプションは、opensslに通知します RSAアルゴリズムに基づいて秘密鍵を生成します。
• -aes256 ：これは、256ビットのAESを使用して、ユーザーが指定したパスフレーズで秘密鍵を暗号化します。 AESは、単なる暗号化技術（Advanced Encryption Standard）です。
• -アウト ：出力ファイル名を指定します。
• 最後に、キーの長さ（ビット単位）を入力します。

キーを保護するためのパスフレーズを提供します。次に、CAの証明書を作成します。この証明書は、作成したばかりのキーで署名されます。次のコマンドを使用して作成します：

openssl req -x509 -new -key ca-key.pem -days 365 -subj '/CN=CertificateAuthority' -out ca-cert.pem

多くの人にとって、これは謎のように見えるかもしれません。さて、あなたのためにそれを分解させてください：

• req ：このオプションは、主にCSRを作成するために使用されます。ここでは、これを使用して自己署名証明書を作成しています。
• -x509 ：これはopensslに通知します CSRの代わりに署名付き証明書を生成します。
• 新しい ：これにより、新しい証明書リクエストが作成され、関連するフィールド値をユーザーに尋ねられます。
• -キー ：使用するキー。
• -日 ：証明書の有効期間（日数）。
• -subj ：すべての詳細の入力を求められる代わりに、このオプションを使用して関連するフィールド値を直接割り当てます。ここでのみ共通名を設定しました。このフラグは省略でき、すべての詳細の入力を求められます。
• -アウト ：出力ファイル名。

プロンプトが表示されたら、キーのパスフレーズを入力します。

Dockerサーバー

次に、サーバーの証明書と秘密鍵を生成する必要があります。

このためには、最初にCSR、証明書署名要求を作成し、次にCAによって署名されます。最初に秘密鍵を生成します：

openssl genrsa -out server-key.pem 2048

構文は、例外を除いて、前に使用したものと同じです。 1つは、今回はキーを暗号化しないことです。他のプログラムはこのファイルを無人で読み取る必要があるため、暗号化すると、いくつかのエラーが発生します。 2つ目は、ここでのキーの長さは256バイトです。 CAのキーを長くすることを選択しました。これにも同じ長さを使用できます。これは、自由に使用できるさまざまなオプションを示すためです。

次にCSRを生成します：

openssl req -new -key server-key.pem -subj '/CN=docker-host' -out server.csr

/etc/hostsを編集します ファイルを作成し、DockerホストのIPを一定のホスト名で追加します。このホストにアクセスしたいすべてのクライアントにこれを追加する必要があります。このホストのIPにFQDNが割り当てられている場合は、代わりにそれを使用できます。 FQDN、完全修飾ドメイン名は、DNSサーバーのIPに関連付けられているドメイン名です。これはローカルホスト名ではありません。 FQDNは、パブリックDNSレコードの一部であり、リゾルバーがそのDNSサーバーを使用している限り、LANだけでなく世界中のどこでもIPに解決されます。

フラグは、CA証明書を生成するときに使用したものと同じです。ここには-x509がありません これは自己署名証明書ではないため、CAがこれに署名します。したがって、署名してください

openssl x509 -req -days 365 -in server.csr -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -extfile <(echo "extendedKeyUsage = serverAuth") -out server-cert.pem

• x509 ：このオプションは、CSRに署名するために使用されます。
• -req ：このオプションはopensslにあります CSRを期待する。
• -in ：CSRファイルを渡します。
• オプション-CA 、 -CAkey CA証明書とCAキーをそれぞれ引数として取ります。
• -CAcreateserial ：このオプションを使用すると、openssl CAシリアル番号ファイルがまだ存在しない場合は作成します。
• -extfile ：使用する証明書拡張子を含むファイルを渡します。ここでは、extendedKeyUsageを使用しました 拡張機能。

これで、CA署名付きサーバー証明書server-cert.pemが必要になります。 およびサーバーの秘密鍵server-key.pem 。

Dockerクライアント

次に、Dockerクライアントをセットアップする必要があります。プロセスは以前と多少同じです。秘密鍵を作成し、CSRを生成し、CAでそのCSRに署名します。

わかりやすくするために、これらについてはここで説明します。秘密鍵を生成します：

openssl genrsa -out client-key.pem 2048   

次に、CSRを生成します：

openssl req -new -key client-key.pem -subj '/CN=docker-client' -out client.csr

ここで、CNの値としてクライアントのホスト名を入力します。最後に、CSRに署名します：

openssl x509 -req -days 365 -in client.csr -CA ca-cert.pem -CAkey ca-key.pem -CAcreateserial -extfile <(echo "extendedKeyUsage = clientAuth") -out client-cert.pem

ここでの唯一の違いは、「拡張キー使用法」拡張値です。 clientAuthがあります serverAuthの代わりに 。プロンプトが表示されたらパスフレーズを入力します。

sudo mkdir /etc/docker/certs

{
    "tlsverify": true,
    "tlscacert": "/etc/docker/certs/ca-cert.pem",
    "tlscert": "/etc/docker/certs/server-cert.pem",
    "tlskey": "/etc/docker/certs/server-key.pem",
    "host": "tcp://0.0.0.0:2376"
}

sudo systemctl restart docker

mkdir ~/.docker

export DOCKER_HOST=tcp://docker-host:2376
export DOCKER_TLS_VERIFY=1

curl https://docker-host:2376/info --cert ~/.docker/cert.pem --key ~/.docker/key.pem --cacert ~/.docker/ca.pem

docker run -d --rm --name remote_nginx -p 8080:80 nginx:latest

curl http://localhost:8080

curl: (7) Failed to connect to localhost port 8080: Connection refused

curl http://docker-host:8080