Настройка докере-репо с https без доменного имени

Question

У меня есть веб-сайт, на котором я работаю на цифровой капельке океана, которую я хочу постоянно развернуть через докер и сервер сборки Teamcity, который у меня запущен на моем домашнем сервере. Я хочу включить https в моем реестре докеров, с самоподписанным сертификатом и без имени домена.

Предположим, что IP-адрес моего дома - 10.10.10.10, а репортер докеров работает на порту 5000.

Я выполнил шаги here, однако докер на моем веб-сайте жаловался, что он не может подключиться к репозиторию докеров на моем домашнем сервере, поскольку он не указывает IP-адрес в расширении SAN.

Хорошо. Так что я создал новый сертификат без поля CN и только IP в сети SAN, и теперь мой серт конфигурация на моем сайте выглядит ...

/etc/docker/certs.d/10.10.10.10:5000/ca.crt 

Я также добавил серта мои общие сертификаты (Ubuntu 16.04 кстати)

Тогда я пытаюсь вытащить изображение из моего домашнего сервера на мой сайт ...

docker pull 10.10.10.10:5000/personal_site:latest 

Однако, я получаю эту ошибку.

Error response from daemon: Get https://10.10.10.10:5000/v1/_ping: x509: 
certificate signed by unknown authority (possibly because of "x509: 
invalid signature: parent certificate cannot sign this kind of 
certificate" while trying to verify candidate authority certificate "serial:xxx") 

Я думал, добавив мой серт к /etc/docker/... она будет принимать самостоятельно подписанный сертификат. У кого-нибудь есть совет?

Answer 1

Вы не можете использовать самоподписанный сертификат для этого, он должен быть сертификатом ЦС. Следуйте за same steps required to create a certificate for a docker host и сохраните свой ЦС в /etc/docker/certs.d/.... Или вы также можете определить 10.10.10.10 как небезопасный реестр как часть запуска демона-док-станции (dockerd --insecure-registry 10.10.10.10:5000 ...), и докер должен игнорировать любые проблемы с сертификатом.