security - Docker注册表和基本身份验证

Question

我在带有用于身份验证的基本身份验证的远程VM上运行的简单Docker Registry。在开始运行注册表之前，我发出了以下命令(我只是从这些文档中无耻地复制粘贴了该命令):

docker run --entrypoint htpasswd registry:2 -Bbn myuser 12345passwd > auth/htpasswd

这产生了一个 auth/htpasswd文件，其中包含 myuser条目以及我上面提供的密码的某种加密/编码签名。因此，显然这是注册表将用于验证用户的文件。

一些问题:

如何将新用户添加到此文件？我是否必须重新启动注册表容器才能使更改生效(我希望不会!)？

如何仅通过简单的文本编辑就从该文件中撤消用户？同样，要使更改生效需要发生什么？

是否可以在此处强制执行授权/角色(读/写访问)？我希望注册表允许多个通用的“您拥有不受限制的访问”角色!理想情况下，我想对哪些用户具有对哪些容器/存储库的读/写访问权限进行细粒度的访问控制。

Answer 1

您可以引用Apache htpasswd command(例如htpasswd -D <username>将删除一个帐户)

您执行的docker run是执行该命令(使用--entrypoint覆盖注册表镜像的默认命令)，并添加，更新或删除用户。

注意docker distribution(产生docker registry 2.0)对基于角色的访问(例如issues 635)进行了讨论:

Note that registry 2.1 will release with native basic auth, which might be sufficient. However, no role-based access control is provided. Adding ACL support is realistic with some careful thought and a PR.