使用apache验证代理

预计阅读时间：4分钟

该页面包含有关使用开源Docker Registry托管自己的注册表的信息。有关Docker Hub的信息，它提供了托管注册表以及其他功能，例如团队，组织，Web挂钩，自动构建等，请参阅Docker Hub。

用例

人们已经依赖于Apache代理来验证其用户对其他服务的身份，他们可能希望利用它并通过同一管道来传输注册表通信。

通常，这包括在后端使用LDAP / AD的企业设置以及在其内部http门户前面的SSO机制。

备择方案

如果您只想对您的注册表进行身份验证，并且愿意单独维护用户访问权限，则应该考虑使用本机基本身份验证注册表功能。

解决方案

使用此处介绍的方法，您可以在注册表前面的反向代理中为docker引擎实现基本身份验证。

尽管我们以一个简单的htpasswd文件为例，但是在完成该示例后，任何其他的Apache身份验证后端都应该非常容易实现。

为了示例，我们还实现了对受限用户组的推送限制。同样，您应该修改此设置以适合您的里程。

陷阱

虽然此模型使您能够通过代理内部实现的辅助身份验证机制使用所需的任何身份验证后端，但它还需要将TLS终止从注册表移到代理本身。

此外，在通信管道中引入额外的http层会增加部署，维护和调试时的复杂性。

设置东西

再次阅读要求。

准备好？

运行以下脚本：

mkdir -p auth
mkdir -p data

# This is the main apache configuration
cat <<EOF > auth/httpd.conf
LoadModule headers_module modules/mod_headers.so

LoadModule authn_file_module modules/mod_authn_file.so
LoadModule authn_core_module modules/mod_authn_core.so
LoadModule authz_groupfile_module modules/mod_authz_groupfile.so
LoadModule authz_user_module modules/mod_authz_user.so
LoadModule authz_core_module modules/mod_authz_core.so
LoadModule auth_basic_module modules/mod_auth_basic.so
LoadModule access_compat_module modules/mod_access_compat.so

LoadModule log_config_module modules/mod_log_config.so

LoadModule ssl_module modules/mod_ssl.so

LoadModule proxy_module modules/mod_proxy.so
LoadModule proxy_http_module modules/mod_proxy_http.so

LoadModule unixd_module modules/mod_unixd.so

<IfModule ssl_module>
    SSLRandomSeed startup builtin
    SSLRandomSeed connect builtin
</IfModule>

<IfModule unixd_module>
    User daemon
    Group daemon
</IfModule>

ServerAdmin you@example.com

ErrorLog /proc/self/fd/2

LogLevel warn

<IfModule log_config_module>
    LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined
    LogFormat "%h %l %u %t \"%r\" %>s %b" common

    <IfModule logio_module>
      LogFormat "%h %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\" %I %O" combinedio
    </IfModule>

    CustomLog /proc/self/fd/1 common
</IfModule>

ServerRoot "/usr/local/apache2"

Listen 5043

<Directory />
    AllowOverride none
    Require all denied
</Directory>

<VirtualHost *:5043>

  ServerName myregistrydomain.com

  SSLEngine on
  SSLCertificateFile /usr/local/apache2/conf/domain.crt
  SSLCertificateKeyFile /usr/local/apache2/conf/domain.key

  ## SSL settings recommendation from: https://raymii.org/s/tutorials/Strong_SSL_Security_On_Apache2.html
  # Anti CRIME
  SSLCompression off

  # POODLE and other stuff
  SSLProtocol all -SSLv2 -SSLv3 -TLSv1

  # Secure cypher suites
  SSLCipherSuite EECDH+AESGCM:EDH+AESGCM:AES256+EECDH:AES256+EDH
  SSLHonorCipherOrder on

  Header always set "Docker-Distribution-Api-Version" "registry/2.0"
  Header onsuccess set "Docker-Distribution-Api-Version" "registry/2.0"
  RequestHeader set X-Forwarded-Proto "https"

  ProxyRequests     off
  ProxyPreserveHost on

  # no proxy for /error/ (Apache HTTPd errors messages)
  ProxyPass /error/ !

  ProxyPass        /v2 http://registry:5000/v2
  ProxyPassReverse /v2 http://registry:5000/v2

  <Location /v2>
    Order deny,allow
    Allow from all
    AuthName "Registry Authentication"
    AuthType basic
    AuthUserFile "/usr/local/apache2/conf/httpd.htpasswd"
    AuthGroupFile "/usr/local/apache2/conf/httpd.groups"

    # Read access to authentified users
    <Limit GET HEAD>
      Require valid-user
    </Limit>

    # Write access to docker-deployer only
    <Limit POST PUT DELETE PATCH>
      Require group pusher
    </Limit>

  </Location>

</VirtualHost>
EOF

# Now, create a password file for "testuser" and "testpassword"
docker run --entrypoint htpasswd httpd:2.4 -Bbn testuser testpassword > auth/httpd.htpasswd
# Create another one for "testuserpush" and "testpasswordpush"
docker run --entrypoint htpasswd httpd:2.4 -Bbn testuserpush testpasswordpush >> auth/httpd.htpasswd

# Create your group file
echo "pusher: testuserpush" > auth/httpd.groups

# Copy over your certificate files
cp domain.crt auth
cp domain.key auth

# Now create your compose file

cat <<EOF > docker-compose.yml
apache:
  image: "httpd:2.4"
  hostname: myregistrydomain.com
  ports:
    - 5043:5043
  links:
    - registry:registry
  volumes:
    - `pwd`/auth:/usr/local/apache2/conf

registry:
  image: registry:2
  ports:
    - 127.0.0.1:5000:5000
  volumes:
    - `pwd`/data:/var/lib/registry

EOF

开始和停止

现在，开始堆栈：

docker-compose up -d

使用“推”授权用户登录（使用testuserpush和testpasswordpush），然后标记并推送您的第一张图像：

docker login myregistrydomain.com:5043
docker tag ubuntu myregistrydomain.com:5043/test
docker push myregistrydomain.com:5043/test

现在，以“仅拉动”用户身份登录（使用testuser和testpassword），然后拉回图像：

docker login myregistrydomain.com:5043
docker pull myregistrydomain.com:5043/test

验证“仅拉动”不能推动：

docker push myregistrydomain.com:5043/test

注册表，本地，图像，标签，存储库，分发，身份验证，代理，阿帕奇，httpd，TLS，配方，高级