whiledo/docker-remote-api-tls

Docker Remote API TLS客户端认证容器

镜像概述

此镜像通过容器发布Docker Remote API，要求客户端使用TLS证书进行认证，是直接在Docker daemon上配置TLS的替代方案，旨在提升API访问的安全性。

核心功能

1. 支持使用外部CA证书、服务器证书及密钥
2. 支持自动生成CA证书、服务器与客户端证书
3. 可配置CA证书及服务器/客户端证书的有效期
4. 支持通过环境变量或Docker Secret设置证书密码（Secret优先级更高）

使用场景

• 远程安全访问Docker API的场景
• 多机器管理Docker环境时的安全认证需求
• 避免直接修改Docker daemon配置的TLS设置

配置说明

环境变量

• CREATE_CERTS_WITH_PW: 加密证书的密码
• CERTS_PASSWORD_FILE: 从Docker Secret文件读取证书密码（绝对路径，如/run/secrets/<secret_name>）
• CERT_EXPIRATION_DAYS: 服务器/客户端证书有效期（默认365天）
• CA_EXPIRATION_DAYS: CA证书有效期（默认900天）
• CERT_HOSTNAME: Docker服务器域名（无DNS时可使用nip.io生成对应IP的域名）

部署示例

方式一：使用外部证书

1. 准备证书文件：ca-cert.pem、server-cert.pem、server-key.pem
2. 创建docker-compose.yml：

yml
version: "3.4"
services:
  remote-api:
    image: docker.xuanyuan.run/kekru/docker-remote-api-tls:v0.3.0
    ports:
     - 2376:443
    volumes:
     - <本地证书目录>:/data/certs:ro
     - /var/run/docker.sock:/var/run/docker.sock:ro

3. 启动容器：docker-compose up -d 或 docker stack deploy --compose-file=docker-compose.yml remoteapi

方式二：自动生成证书

1. 创建docker-compose.yml：

yml
version: "3.4"
services:
  remote-api:
    image: docker.xuanyuan.run/kekru/docker-remote-api-tls:v0.3.0
    ports:
     - 2376:443
    environment:
     - CREATE_CERTS_WITH_PW=supersecret
     - CERT_HOSTNAME=remote-api.example.com
    volumes:
     - <本地证书目录>:/data/certs
     - /var/run/docker.sock:/var/run/docker.sock:ro

2. 启动后，证书生成在<本地证书目录>，客户端证书位于<本地证书目录>/client/

客户端设置

参考https://gist.github.com/kekru/4e6d49b4290a4eebc7b597c07eaf61f2配置客户端，或使用`dockerRemote`脚本修改URL和路径后执行命令（如`./dockerRemote ps`）。

快速测试

1. 克隆仓库后启动容器：docker-compose up -d
2. 测试远程API：./dockerRemote ps（Windows需用GitBash）

更新日志

v0.2.0

首个稳定版本，感谢@smiller171贡献。

v0.3.0

• 更新Nginx版本
• 新增证书有效期配置
• 新增Swarm Secret作为证书密码的支持
• 新增自动测试，感谢@benkorichard贡献。