certyfikaty ssl kontenera kontenera

Question

Czy istnieje elegancki sposób dodawania certyfikatów ssl do obrazów pochodzących z funkcji dokowania?

Szukam prostego i powtarzalnego sposobu dodawania pliku do/etc/ssl/certs i uruchamiania aktualizacji-ca-certyfikatów. (Powinno to obejmować obrazy ubuntu i debian).

Używam programu do obsługi dokowania w systemie CoreOS, a urządzenie typu coreos ufa potrzebnym certyfikatom SSL, ale kontenery dokowane mają oczywiście domyślną wartość.

Próbowałem użyć docker run --entrypoint=/bin/bash, aby dodać certyfikat i uruchomić update-ca-certificates, ale wydaje się, że to na stałe zastąpiło punkt wejścia.

Zastanawiam się teraz, czy bardziej elegancko byłoby po prostu zamontować /etc/ssl/certs na kontenerze z kopii komputera hosta? Wykonanie tej czynności domyślnie pozwoliłoby kontenerom na zaufanie tym samym rzeczom co host.

jestem w pracy z irytujące pełnomocnika że rezygnuje wszystko :(który rozkłada SSL i sprawia, że ​​pojemniki na rodzaj dziwne pracować

Answer 1

zamontować certyfikatów na pojemniku Docker użyciu -v..

docker run -v /host/path/to/certs:/container/path/to/certs -d IMAGE_ID "update-ca-certificates" 

Answer 2

Jak sugerowano w comment above, jeśli magazyn certyfikatów na komputerze jest kompatybilny z gościem, można po prostu zamontować go bezpośrednio.

o n Host Debiana (i kontener), udało mi się:

docker run -v /etc/ssl/certs:/etc/ssl/certs:ro ... 

Answer 3

Próbuję zrobić coś podobnego do tego. Jak wspomniano powyżej, myślę, że chciałbyś zbudować nowy obraz z niestandardowym plikiem Docker (używając obrazu, który wyciągnąłeś jako podstawowy obraz), ADD twój certyfikat, a następnie RUN update-ca-certificates. W ten sposób będziesz mieć spójny stan za każdym razem, gdy otworzysz kontener z tego nowego obrazu.

# Dockerfile 
FROM some-base-image:0.1 
ADD you_certificate.crt:/container/cert/path 
RUN update-ca-certificates 

powiedzmy docker build przeciwko tej Dockerfile produkowanego IMAGE_ID. W następnym docker run -d [any other options] IMAGE_ID kontener uruchomiony przez to polecenie będzie zawierał informacje o twoim certyfikacie. Prosty i powtarzalny.