linux - 使受信任的自签名证书不在专用网络上注册为 "self-signed"(即受信任)

Question

我目前正在实现 private Docker Registry server with nginx configured to forward https traffic securely to the running Docker Registry (i.e. docker-compose) instance在专用网络上(配置了 DNS、DHCP)。

我的整个设置都按预期工作，但必须 create self-signed certificates因为我不允许使用 "Let's Encrypt" (硬性要求)。我已经将 .crt 文件部署到我网络上所有 Ubuntu 主机上的 /usr/local/share/ca-certificates，并更新了证书存储(即通过sudo update-ca-certificates -f).

然而，即使证书是“受信任的”(从上面的步骤)，证书仍然注册为“自签名”，并且 the only way I can get Docker Registry working fully is by creating a file ，/etc/docker/daemon.json，包含以下内容(假设我的 Docker Registry 实例在我的 lan 上的 registry 主机上运行域):

{
  "insecure-registries" : [ "registry.lan:5000" ]
}

这会导致某些功能中断(即，如果启用“不安全的注册表”，某些插件将无法工作)。

---

问题

我如何配置我的私有(private)网络(即假设它大部分时间甚至没有连接到互联网)以便网络上的所有机器“完全信任”证书(即证书是“公开信任的”在本地网络上的主机之间)？ 即我可以运行什么命令或可以调整配置文件？

This seems like a possible solution: create a CA plus server key on my private network.

谢谢。

Answer 1

来自注册表文档:

Linux: Copy the domain.crt file to /etc/docker/certs.d/myregistrydomain.com:5000/ca.crt on every Docker host. You do not need to restart Docker.

所以你需要把你的证书放在正确的位置。

来源:https://docs.docker.com/registry/insecure/#use-self-signed-certificates