Docker registry自签名证书

权威Registry

获取安全证书有两个办法：互联网认证的CA处获取。自建CA自己给自己签名。

1、从认证CA处获取签名证书，大多数是需要付出一定费用的，近些年也有认证CA提供免费证书，例如Let’s Encrypt(被大多数浏览器信任)。下文使用Let’s Encrypt的例子您将清楚地看到这个步骤。
2、自建CA并签名证书的方式所带来的问题是CA本身的维护以及客户端方面的维护。要保证自建CA的安全需要有比较扎实的基础安全知识，维护它的运转需要有对签名流程进行干预的控制能力，或自动、或手工。客户端方面，同样需要对所有客户端按照其CA安装机制来进行额外安装。若将自建CA维护到与认证CA同等的安全性和便利性，所付出的代价将超过付费证书。因此这种方式主要用于试验性环境。

LetsEncrypt证书

1、准备一台服务器(有公网IP)，已做好域名解析。这里以Ubuntu 14.04 TLS为例。
2、确保该服务器80，443端口可以从互联网访问到且不被占用(关掉占用端口的服务器)。

因为LetsEncrypt申请证书是需要联网签名的，并且要用到80端口。

在成功获取证书后，服务器IP和端口就可另作他用。因此，可以在某台有公网IP的主机服务器上获取证书，再将证书转移到其它服务器进行使用。若采用
这样的方式，Docker客户端需要将私网IP和dockie.mydomain.com对应写入hosts文件或将该解析写到私网DNS服务器里。但证
书到期renew的时候还需要同样的公网域名（公网IP可以不同）。

3、在服务器上获取签名证书

SH$ git clone https://github.com/letsencrypt/letsencrypt.git

$ cd letsencrypt

$ sudo ./certbot-auto certonly --standalone --email admin@example.com -d example.com -d www.example.com -d other.example.net

这里直接根据官方提供的方法从GITHUB获取安装包和目录安装，上面是一个标准的格式，根据我们的邮箱、以及需要添加的域名设置，如果多域名直接在后面添加-d就可以，比如继续添加其他域名 -d www.laojiang.me -d laojiang.me以此类推。

IMPORTANT NOTES:

- Congratulations! Your certificate and chain have been saved at

  /etc/letsencrypt/live/laojiang.me/fullchain.pem. Your cert will

  expire on 2016-07-13. To obtain a new version of the certificate in

  the future, simply run Let's Encrypt again.

- If you like Let's Encrypt, please consider supporting our work by:

Donating to ISRG / Let's Encrypt:   https://letsencrypt.org/donate

Donating to EFF:                    https://eff.org/donate-le

看到这样的文字和提示就代表获取Let’s Encrypt证书成功，时间是90天，我们需要在到期前手手动续约就可以继续90天。然后我们在”/etc/letsencrypt/live/域名 /“目录中看到4个文件（cert.pem chain.pem fullchain.pem privkey.pem）。

4、更新证书
使用下面这条命令，更新证书，它将更新到期时间不到30天的证书，而且它会根据你当初生成证书的设置更新你的证书。

$ ./certbot-auto renew --dry-run

5、通过钩子更新证书

$ ./certbot-auto renew --standalone --pre-hook "service nginx stop" --post-hook "service nginx start"

这里使用了一个钩子，--pre-hook>更新前执行命令命令，--post-hook更新之后执行命令。

自签名证书

执行以下命令，它会在文件夹下生成domain.key和domain.crt

SHmkdir -p certs && openssl req \

 -newkey rsa:4096 \

 -nodes -sha256 \

 -keyout certs/domain.key \

 -x509 -days 365 \

 -out certs/domain.crt