Docker Data Center系列(五)- 使用自定义的TLS安全认证

本系列文章演示如何搭建一个mini的云平台和DevOps实践环境。
基于这套实践环境,可以部署微服务架构的应用栈,演练提升DevOps实践能力。

1 名词说明

  • CSR: Certificate Signing Request,即证书签名请求, 这个并不是证书,而是向权威证书颁发机构获得签名证书的申请,其核心内容是一个公钥;
  • CRT:证书文件,certificate的缩写,可以通过修改扩展名的方式与PEM文件互相转换;
  • PEM:X.509证书的一种编码格式,内容以"-----BEGIN"开头,以"-----END"结尾,内容是BASE64编码;
  • 服务器: 这里是指安装UCP/DTR的主机,或者作为Docker Remote API场景中被访问的服务器端主机,本文中UCP服务器IP为192.168.1.101,DTR服务器IP为192.168.1.102;
  • 客户端: 这里是指需要访问UCP/DTR的主机,或者作为Docker Remote API场景中发起访问请求的客户端主机,本文中客户端IP为192.168.1.103, 192.168.1.104。

2 生成自签名CA证书

2.1 编辑CA配置文件

$ vi /etc/pki/tls/openssl.cnf

[ policy_match ]
# 除了country name,其它都改成optional

[ req_distinguished_name ]
# CommonName设置为IROOTECH CA,这个会显示为证书的【颁发者】和【颁发给】的属性值

2.2 生成CA私钥

创建到CentOS系统默认的CA私钥文件位置:

$ cd /etc/pki/CA/
$ openssl genrsa -out private/cakey.pem 2048

2.3 生成CA证书

创建到CentOS系统默认的CA证书文件位置:

$ openssl req -new -x509 -key private/cakey.pem -out cacert.pem

如果步骤2.1设置好了默认值,一路回车即可完成。

3 生成服务器证书

3.1 生成服务器私钥

创建到自定义文件夹:

$ mkdir /home/tls/
$ openssl genrsa -out server.key 2048

3.2 生成服务器证书签名请求

创建到自定义文件夹:

$ mkdir /home/tls/
$ openssl req -new -key server.key -out server.csr

commonName(CN)设置为UCP(DTR)所在主机名或FQDN。也可以设置为一个泛域名(*.yourcompany.com),其它都使用默认值。

3.3 生成服务器证书

一般情况下,服务器证书和CA证书不在同一个服务器上,所以需要将3.2节生成的服务器证书签名请求发送到CA证书所在服务器上。
创建到自定义文件夹:

$ mkdir /home/tls/
$ openssl ca -in server.csr -out server.pem 

注意:生成服务器证书过程默认使用了-cert cacert.pem -keyfile cakey.pem,这两个文件就是2.2和2.3两步生成的,位于/etc/pki/CA下的CA密钥和CA证书。

4 如何使用

现在我们已经生成了必须的几个文件:

  • /etc/pki/CA/cacert.pem
  • /home/tls/server.pem
  • /home/tls/server.key

4.1 UCP设置证书

在UCP Web UI中, 导航到管理员设置页面,在左侧菜单中,单击证书

依次上传:

  • CA证书:cacert.pem
  • 服务器证书:server.pem
  • 私钥:server.key

点击保存

4.2 DTR设置证书

在DTR Web UI中,导航到系统页面, 在右侧页面中,点击常规,定位到域和代理,点击显示TLS设置

依次上传:

  • CA证书:cacert.pem
  • 服务器证书:server.pem
  • 私钥:server.key

点击保存

4.3 浏览器导入CA证书

如果希望自己本地浏览器访问UCP Web UI时不显示安全证书警告,需要如下操作:

  • a. 将cacert.pem文件复制到本地,然后修改扩展名为.crt;
  • b. 右键点击,在弹出窗口中选择【安装证书】;
  • c. 导出【证书导入向导】,点击【下一步】;
  • d. 单选框选择【将所有的证书放入下列存储】,点击【浏览】按钮,弹出窗口中选择【受信任的根证书颁发机构】,点击【确认】,点击【下一步】;
  • e. 点击【完成】。

系列文章

Docker Data Center系列(一)- 快速搭建云原生架构的实践环境
Docker Data Center系列(二)- UCP安装指南
Docker Data Center系列(三)- DTR安装指南
Docker Data Center系列(四)- 离线安装UCP和DTR
Docker Data Center系列(五)- 使用自定义的TLS安全认证

posted @ 2018-07-02 19:49  羽客  阅读(349)  评论(0编辑  收藏  举报