Comment générer un certificat SSL auto-signé pour un registre Docker

Introduction

La sécurisation de votre registre Docker est cruciale pour maintenir l'intégrité de vos images de conteneurs et pour assurer la sécurité de vos applications basées sur Docker. Dans ce tutoriel, nous allons vous guider tout au long du processus de génération d'un certificat SSL auto-signé pour votre registre Docker, vous permettant d'établir une connexion sécurisée entre vos clients Docker et le registre.

Comprendre les certificats SSL auto-signés

Les certificats SSL (Secure Sockets Layer) sont utilisés pour établir une connexion sécurisée entre un client et un serveur. Ils garantissent que les données transmises entre les deux parties sont chiffrées et protégées contre l'accès non autorisé. Un certificat SSL auto-signé est un type de certificat SSL qui est créé et signé par la même entité, plutôt que d'être signé par une Autorité de Certification (CA) reconnue.

Les certificats SSL auto-signés sont souvent utilisés dans des environnements de développement ou de test, où le coût et la complexité d'obtention d'un certificat signé par une CA peuvent ne pas être nécessaires. Ils peuvent également être utilisés dans des scénarios où une CA reconnue n'est pas disponible ou où l'organisation souhaite avoir plus de contrôle sur le processus de gestion des certificats.

Cependant, les certificats SSL auto-signés ne sont pas automatiquement reconnus par les navigateurs web et autres clients. Lorsqu'un client rencontre un certificat auto-signé, il affichera généralement un message d'avertissement indiquant que le certificat n'est pas reconnu. Cela peut entraîner des problèmes avec les applications web et autres services qui dépendent de connexions sécurisées.

Pour utiliser un certificat SSL auto-signé dans un environnement de production, vous devrez vous assurer que le certificat est reconnu par tous les clients qui accéderont à votre application ou service. Cela peut être fait en distribuant le certificat auto-signé aux clients et en les configurant pour confier foi au certificat.

Dans le contexte d'un registre Docker, l'utilisation d'un certificat SSL auto-signé peut être une solution pratique, en particulier si vous exécutez un registre privé au sein de votre organisation. En générant un certificat auto-signé et en configurant Docker pour l'utiliser, vous pouvez vous assurer que la communication entre le client Docker et le registre est sécurisée, sans avoir besoin d'un certificat signé par une CA reconnue.

Générer un certificat SSL auto-signé pour un registre Docker

Conditions préalables

Avant de générer le certificat SSL auto-signé, assurez-vous d'avoir les conditions préalables suivantes :

Un système basé sur Linux (cet exemple utilise Ubuntu 22.04)
OpenSSL installé (généralement pré-installé sur la plupart des distributions Linux)

Étapes pour générer un certificat SSL auto-signé

Ouvrez un terminal sur votre système Ubuntu 22.04.
Générez une clé privée pour le certificat SSL :

openssl genrsa -out registry.key 2048

Générez un certificat SSL auto-signé à l'aide de la clé privée :

openssl req -new -x509 -key registry.key -out registry.crt -days 365

Cette commande vous invitera à entrer diverses informations sur le certificat, telles que le Nom Commun (CN), qui doit correspondre à l'hôte ou à l'adresse IP de votre registre Docker.

Vérifiez le certificat généré :

openssl x509 -in registry.crt -text -noout

Cela affichera les détails du certificat SSL auto-signé généré.

(Facultatif) Si vous souhaitez utiliser un nom de domaine personnalisé pour votre registre Docker, vous pouvez mettre à jour le fichier /etc/hosts sur le système où le client Docker sera exécuté pour mapper le nom de domaine à l'adresse IP du registre Docker.

graph LR
  A[Générer une clé privée] --> B[Générer un certificat SSL auto-signé]
  B --> C[Vérifier le certificat]
  C --> D[Mettre à jour /etc/hosts (Facultatif)]

En suivant ces étapes, vous avez généré un certificat SSL auto-signé qui peut être utilisé pour sécuriser votre registre Docker. L'étape suivante consiste à configurer Docker pour utiliser ce certificat auto-signé.

Configurer Docker pour utiliser le certificat auto-signé

Copier le certificat auto-signé sur l'hôte Docker

Copiez le fichier registry.crt généré dans l'étape précédente sur l'hôte Docker. Vous pouvez utiliser un outil de transfert de fichiers ou la commande scp pour copier le fichier.

scp registry.crt user@docker-host:/etc/docker/certs.d/myregistry.example.com/ca.crt

Remplacez user@docker-host par l'utilisateur approprié et l'hôte ou l'adresse IP de votre hôte Docker, et myregistry.example.com par l'hôte ou l'adresse IP de votre registre Docker.

Configurer Docker pour utiliser le certificat auto-signé

Sur l'hôte Docker, créez le répertoire pour le certificat auto-signé :

sudo mkdir -p /etc/docker/certs.d/myregistry.example.com

Copiez le fichier registry.crt dans le répertoire nouvellement créé :

sudo cp registry.crt /etc/docker/certs.d/myregistry.example.com/ca.crt

Redémarrez le démon Docker pour appliquer les modifications :

sudo systemctl restart docker

Vérifier la configuration

Essayez de télécharger une image de votre registre Docker à l'aide du client Docker :

docker pull myregistry.example.com/my-image:latest

Si la configuration est correcte, le client Docker devrait être capable de se connecter au registre sans aucune erreur liée à SSL/TLS.

graph LR
  A[Copier le certificat sur l'hôte Docker] --> B[Créer le répertoire du certificat]
  B --> C[Copier le certificat dans le répertoire]
  C --> D[Redémarrer le démon Docker]
  D --> E[Vérifier la configuration]

En suivant ces étapes, vous avez configuré Docker pour utiliser le certificat SSL auto-signé pour votre registre Docker. Cela garantit que la communication entre le client Docker et le registre est sécurisée, même si le certificat n'est pas signé par une Autorité de Certification reconnue.

Résumé

En suivant les étapes décrites dans ce tutoriel, vous serez capable de générer un certificat SSL auto-signé pour votre registre Docker, de configurer Docker pour utiliser le certificat et d'assurer une communication sécurisée entre vos clients Docker et le registre. Cela vous aidera à renforcer la sécurité de votre infrastructure basée sur Docker et à rationaliser votre processus global de déploiement Docker.