Настройка локального репозитория для образов Docker и работа с ним

Для хранения собственных образов Docker мы можем использовать облако Docker Hub. Однако, у нас также есть возможность создать собственный репозиторий для внутреннего использования. В данной инструкции рассмотрим процесс создания такого хранилища образов Docker, а также примеры подключения к нему.

Подготовка сервера

Выполним предварительные настройки, необходимые для корректной работы нашего сервера.

Установка Docker

Сам репозиторий является контейнеров Docker, поэтому для его запуска необходимо установить одноименный сервис.

Подробнее, об установке Docker на разные операционные системы семейства Linux читайте на странице Установка Docker на Linux.

Настройка брандмауэра

В официальной документации по настройке хранилища образов Docker приводится пример использования порта 5000. Именно его мы и будем открывать. Рассмотрим примеры использования разных утилит для настройки фаервола.

а) Iptables (как правило, используется в системах на базе deb или в старых RPM).

Чтобы открыть нужный нам порт, вводим команду:

Для сохранения правила используем утилиту iptables-persistent:

б) firewalld (как правило, используется в, относительно, новых системах на базе RPM).

Вводим команду для открытия порта 5000:

Для применения правила вводим:

Репозиторий для localhost

Для начала мы развернем репозиторий, который сможет обслуживать только локальный сервер (о том, как развернуть сетевое хранилище образов Docker будет рассказано ниже).

Чтобы запустить сервис, который сможет принимать запросы docker push и docker pull, вводим команду:

* в данном примере мы поднимает контейнер Docker с именем registry из образа registry:2. Он будет слушать сетевые запросы на порту 5000. Параметр --restart=always позволит автоматически запускаться контейнеру после перезагрузки сервера.

Проверяем, что на порту 5000 у нас запустился контейнер docker:

Мы должны увидеть что-то на подобие:

Попробуем проверить работу нашего репозитория. На том же сервере сначала загрузим из облака докер-хаба образ, например, для python:

Далее мы должны установить новый тег для образа, в начале названии которого должно идти указание на сервер и порт хранения образа:

* в данном примере мы указываем тег localhost:5000/python, в названии которого мы видим localhost:5000 — локальный сервер, порт 5000.

Загружаем образ питона на наш сервер:

Теперь удалим тот образ, который был загружен из облака:

... и образ, который мы загрузили в наш локальный репозиторий:

Теперь снова загрузим образ python, но на этот раз из нашего собственного репозитория:

Мы должны увидеть процесс загрузки:

Который должен завершиться загрузкой образа в систему:

Наш репозиторий Docker готов и работает для локального сервера.

Меняем расположение хранилища для образов

Наш репозиторий для докер образов сам является контейнером Docker и данные хранит внутри себя (каталоге /var/lib/registry). Это не является правильной практикой, так как при переустановке контейнера, все данные внутри него уничтожаются. Чтобы избежать потери данных, мы должны внешнее хранилище подключить к контейнеру. 

Для начала, создадим каталог на сервере, где будем хранить образы, например:

Остановим и уничтожим наш контейнер:

Запустим его снова, но на этот раз мы подключим созданный каталог внутрь контейнера:

* в данном примере мы используем опцию -v для подключения каталога /dockerrepo внутрь контейнера в качестве каталога /var/lib/registry.

Проверим работу репозитория. На этот раз загрузим другой образ, например, nginx:

Добавим тег:

Загрузим образ в репозиторий:

Попробуем найти загруженный образ в созданном каталоге /dockerrepo:

В моем случае команда вернула каталог nginx.

Наш сервер готов к настройке доступа по сети.

SSL и подключение по сети

Репозиторий образов Docker не будет работать по сети и обслуживать другие узлы, если мы не зашифруем подключения. Для этого необходимо подключить сертификат безопасности к нашему контейнеру. Рассмотрим варианты его получения и запуска последнего с нужными опциями.

Получение сертификата

Есть 4 стандартных способа получения сертификата, которые нам подойдут. У каждого из них свои преимущества и недостатки.

1. Получение бесплатного сертификата у Let's Encrypt.

Мы можем получить бесплатный легитимный сертификат от Let's Encrypt. Для этого наш сервер должен быть доступен из внешней сети по порту 80 (для выполнения проверки домена) или мы должны перевыпускать сертификат вручную каждые 3 месяца. Подробнее о способах получения в инструкции Получение бесплатного SSL сертификата Let's Encrypt.

2. Покупка.

Если мы хотим получить валидный сертификат, но при этом не можем обеспечить доступность сервера по 80 порту (или не хотим заниматься ручным обновлением сертификата каждые 3 месяца), мы можем купить сертификат. Поставщиков данной услуги, достаточно, много, например REG.RU.

3. Самоподписанный сертификат.

Мы можем сгенерировать самозаверенный сертификат. Это простой способ, но такой сертификат не будет валидным, так как мы получим последовательность от узла, к которому нет доверия у разработчиков программного обеспечения.

Чтобы создать такой сертификат, вводим команды:

* первой командой мы создадим каталог, в котором разместим наши сертификаты. Второй — сам сертификат.

4. Использование внутреннего центра сертификации.

Мы также можем сгенерировать валидный для нашей внутренней инфраструктуры сертификат, используя свой центр сертификации. Подробнее читайте в инструкции Сертификат для Linux в центре сертификации Active Directory Certificate Services.

Запуск внешнего репозитория

После получения сертификата, можно поднять контейнер для обслуживания сетевых запросов. Предполагается, что наши сертификаты находятся в каталоге на сервере /etc/ssl/docrepo.

Сначала уничтожим ранее созданный:

И запустим новый:

Подключаемся к другому компьютеру и пробуем загрузить наш образ для nginx:

Если мы используем неподтвержденный сертификат (самоподписанный), то команда вернет нам ошибку:

Тогда на каждом компьютере, который должен обращаться к общему репозиторию Docker, открываем файл:

И добавляем к настройке:

* где docrepo.dmosk.local:5000 — адрес и порт нашего сервера, к которому мы будем обращаться.

Перезапускаем сервис докера:

Можно снова пробовать загрузить образ с центрального Hub-сервера.

Аутентификация

При необходимости, мы можем настроить аутентификацию при использовании репозитория. Сначала сгенерируем сертификат с помощью утилиты htpasswd — установим ее.

* В официальной документации для генерирования файла с паролем рекомендуется применять контейнер, однако, у меня приведенная в пример команда вернула ошибку. Поэтому в данной инструкции я предлагаю универсальное решение.

а) для Ubuntu / Debian:

б) для CentOS / Red Hat:

Создадим каталог, в котором разместим файл с логинами и паролями:

Создадим пользователя:

* в данном примере мы создадим пользователя repouser с паролем password. Мы поместим данные в файл /etc/docker/auth/htpasswd.

Уничтожим ранее созданный контейнер:

И запустим его снова с параметрами аутентификации:

Репозиторий готов. На компьютере, с которого мы захотим к нему подключиться, вводим:

Система запросит пароль — вводим тот, что создавали с помощью утилиты htpasswd. Теперь можно работать с нашим репозиторием. Удалим загруженный ранее образ:

И загрузим его:

Docker Compose

Мы можем описать наш сервер для репозитория Docker с помощью композера. Для начала, необходимо его установить.

После уничтожаем созданный контейнер:

Создаем каталог — в нем мы создадим файл docker-compose:

Переходим в созданный каталог:

Создаем файл композера:

Создадим каталог для сертификатов и сгенерируем необходимые ключи:

Создадим каталог для хранения файла аутентификации и сам файл с паролем:

* в данном примере логи будет repouser, а пароль — password.

Запускаем наш контейнер с помощью композера:

* так как мы используем готовый образ, нам не нужно делать docker-compose build.

Наш контейнер должен запуститься.

Читайте также

Возможно, вам будут интересны другие инструкции по Docker:

1. Настройка веб-сервера в Docker (NGINX + PHP + MariaDB)

2. Создание собственного образа Docker