Docker私有注册表：x509:由未知机构签署的证书

Question

我正在尝试设置一个私有docker注册表，由一个反向nginx代理保护，该代理通过客户端证书验证用户。

我得到的错误是：

x509：由未知机构签署的证书

根据文档，您应该能够将证书添加到/etc/docker/certs中。我已经这么做了。Docker似乎看到了证书的位置：

EBU[0015]呼叫POST/v1。24/图像/创建？fromImage=docker。矮人。组织/名册

我还尝试从mydomain重命名证书文件。org改为简单的“ca.crt”，调试日志再次显示它可以看到，但没有任何效果。

我可以这样使用curl：

curl——关键客户机。密钥——证书客户端。证书https://docker.squadwars.org/

我还可以在curl中添加--cacert选项，无论哪种方式都可以。

docker文档表示，如果仍然存在问题，应该在操作系统级别添加证书。我是按照指示这样做的：

（这可能就是为什么我不需要-cacert和curl，尽管我很困惑，因为我已经删除了证书，但curl仍然有效）

这快把我逼疯了，任何帮助都将不胜感激！

编辑：我忘了添加，最初我有证书的FQDN错误，但现在是'docker.squadwars.org'

Answer 1

我可以用两种不同的方法解决这个错误

a） 将OS DTR证书添加到TLS存储（推荐）
b）在docker中允许不安全的注册表，当与Ubuntu一起使用时，只需添加一个名为/etc/docker/daemon的文件。包含内容的json：

{
  "insecure-registries" : ["https://docker.squadwars.org"]
}

注意“.org”之后没有尾随“/”，这可能会导致docker失败。

然后通过systemd重新启动守护程序：

sudo systemctl docker restart

Answer 2

在我的情况下，这里建议的任何方法都不起作用。
最终我发现我安装了一个安全客户端，它的作用就像“中间人”，并使用自己的证书重新签名所有流量。
为了解决它，我必须下载它的证书并将其安装在容器中：

Docker go image-无法go get-x509:由未知机构签署的证书

Answer 3

我首先创建了自己的证书颁发机构，实现了这一点，如下所述：

如何使用openssl创建自签名证书？

这里：

您如何与您的证书颁发机构签署证书签名请求？

我希望能给出一个更好的答案，但我遵循了这里的说明：

https://arcweb.co/securing-websites-nginx-and-client-side-certificate-authentication-linux/

但这对我不起作用。除了关于签署客户端密钥的部分。成功了。