docker container ssl certificates

Question

Gibt es eine elegante Möglichkeit, ssl-Zertifikate zu Bildern hinzuzufügen, die von docker pull gekommen sind ?.

Ich bin auf der Suche nach einer einfachen und reproduzierbaren Möglichkeit, eine Datei in/etc/ssl/certs hinzuzufügen und update-ca-certificates auszuführen. (Dies sollte Ubuntu- und Debian-Bilder abdecken).

Ich benutze Docker auf CoreOS, und der Coreos-Rechner vertraut die benötigten SSL-Zertifikate, aber die Docker-Container haben offensichtlich nur den Standard.

Ich habe versucht, docker run --entrypoint=/bin/bash zu verwenden, um dann das Zertifikat hinzuzufügen und update-ca-certificates auszuführen, aber das scheint den Einstiegspunkt dauerhaft zu überschreiben.

Ich frage mich auch, wäre es eleganter, nur /etc/ssl/certs auf dem Container von der Host-Maschine kopieren zu kopieren? Auf diese Weise würden die Container implizit denselben Eigenschaften wie der Host vertrauen.

ich bei der Arbeit mit einem ärgerlichen Proxy bin, der alles :(tritt zurück Welche SSL bricht und macht Behälter Art-von seltsamen, mit zu arbeiten

Answer 1

Montieren Sie die certs auf den Docker Behälter-v mit:..

docker run -v /host/path/to/certs:/container/path/to/certs -d IMAGE_ID "update-ca-certificates" 

Answer 2

Wie in einem comment above vorgeschlagen wurde, wenn der Zertifikatspeicher auf dem Host mit dem Gast kompatibel ist, können Sie es einfach direkt montieren.

O n einen Debian-Host (und einen Container), habe ich erfolgreich gemacht:

Answer 3

Ich versuche, etwas Ähnliches zu tun. Wie oben erwähnt, denke ich, dass Sie ein neues Bild mit einer benutzerdefinierten Dockerfile erstellen möchten (mit dem Bild, das Sie als Basisbild gezogen haben), ADD Ihr Zertifikat, dann RUN update-ca-certificates. Auf diese Weise erhalten Sie bei jedem Start eines Containers aus diesem neuen Image einen konsistenten Status.

# Dockerfile 
FROM some-base-image:0.1 
ADD you_certificate.crt:/container/cert/path 
RUN update-ca-certificates 

ist ein docker build gegen diese Dockerfile erzeugt image_id sagen lassen. Auf dem nächsten docker run -d [any other options] IMAGE_ID hat der Container, der mit diesem Befehl gestartet wurde, Ihre Zertifikatsinformationen. Einfach und reproduzierbar.