kubler/openssl 镜像文档

镜像概述和主要用途

kubler/openssl 是一个轻量级 Docker 镜像，集成了 OpenSSL 工具和 Busybox 基础环境，镜像大小约为 17MB。该镜像旨在提供一个最小化的安全工具环境，用于执行各种加密操作、证书管理和安全测试任务，无需在主机系统上安装完整的 OpenSSL 环境。

核心功能和特性

• 轻量级设计：基于 Busybox 构建，仅包含必要组件，镜像体积小，启动速度快
• OpenSSL 工具集：提供完整的 OpenSSL 命令行工具
• 多用途：支持各种加密、解密、签名、验证、证书生成和管理操作
• 便携性：可在任何支持 Docker 的环境中运行，无需依赖主机系统配置
• 安全性：精简的基础环境减少了潜在的攻击面

使用场景和适用范围

• 证书生成与管理（创建自签名证书、证书签名请求等）
• 加密/解密文件和数据
• 计算文件哈希值（MD5、SHA 等）
• SSL/TLS 配置测试
• 开发和部署环境中的临时加密操作
• CI/CD 管道中的安全相关任务
• 容器化应用的证书管理辅助工具

使用方法和配置说明

基本用法

使用以下命令启动镜像并进入交互式 shell：

docker run -it --rm kubler/openssl sh

常用操作示例

生成自签名 SSL 证书

docker run --rm kubler/openssl openssl req -new -newkey rsa:2048 -nodes \
  -keyout server.key -out server.csr -subj "/C=US/ST=State/L=City/O=Organization/CN=example.com"
  
docker run --rm kubler/openssl openssl x509 -req -days 365 -in server.csr \
  -signkey server.key -out server.crt

计算文件哈希值

# 计算本地文件的 SHA256 哈希
docker run --rm -v $(pwd):/data kubler/openssl openssl dgst -sha256 /data/file.txt

# 计算字符串的 MD5 哈希
echo "test" | docker run -i --rm kubler/openssl openssl dgst -md5

生成随机密码

docker run --rm kubler/openssl openssl rand -base64 32

创建自签名证书并保存到本地目录

docker run --rm -v $(pwd):/certs kubler/openssl sh -c " \
  openssl genrsa -out /certs/server.key 2048 && \
  openssl req -new -key /certs/server.key -out /certs/server.csr -subj \"/C=US/ST=State/L=City/O=Org/CN=example.com\" && \
  openssl x509 -req -days 365 -in /certs/server.csr -signkey /certs/server.key -out /certs/server.crt"

挂载主机目录

为了使生成的文件在容器退出后仍然保留，可以挂载主机目录到容器中：

# 将当前目录挂载到容器的 /work 目录
docker run -it --rm -v $(pwd):/work kubler/openssl sh

在脚本中使用

可以在 shell 脚本中直接使用该镜像执行特定命令：

#!/bin/bash
# 生成 2048 位 RSA 密钥并保存到当前目录
docker run --rm -v $(pwd):/output kubler/openssl openssl genrsa -out /output/private.key 2048

docker-compose 集成示例

在 docker-compose.yml 中使用该镜像生成证书：

version: '3'

services:
  generate-cert:
    image: kubler/openssl
    volumes:
      - ./certs:/certs
    command: >
      sh -c "openssl req -new -newkey rsa:2048 -nodes 
      -keyout /certs/server.key -out /certs/server.csr 
      -subj "/C=US/ST=State/L=City/O=Organization/CN=example.com" && 
      openssl x509 -req -days 365 -in /certs/server.csr 
      -signkey /certs/server.key -out /certs/server.crt"

运行以下命令生成证书：

docker-compose run generate-cert

注意事项

• 该镜像设计用于临时任务，不应作为长期运行的服务
• 敏感操作和数据应注意适当的安全措施，避免将敏感信息暴露在命令历史中
• 生成的密钥和证书应妥善保管，避免通过不安全的方式传输
• 定期更新镜像以获取最新的安全补丁和功能改进