docker login 密码加密保存

待我称王封你为后i 2023-02-25 07:06 23阅读 0赞

# credentials store #

企业中使用镜像仓库，通常都需要开启认证，认证凭据可能是用户在企业中通用的账户。但docker login以后，会在 .docker/config.json 中保存base64以后的用户名、密码，这样，在一些多人使用的服务器上，就会出现账号泄露的问题。

有没有解决方法呢？

docker提供[credentials store][]，也就是讲密码存储到外置的credentials store中。

目前支持如下几种：

>  *  D-Bus Secret Service: https://github.com/docker/docker-credential-helpers/releases
>  *  Apple macOS keychain: https://github.com/docker/docker-credential-helpers/releases
>  *  Microsoft Windows Credential Manager: https://github.com/docker/docker-credential-helpers/releases
>  *  pass: https://github.com/docker/docker-credential-helpers/releases

对于linux服务器来说，只能选择pass，因为D-Bus需要X11支持，而Apple和Microsoft看上去就不像是给Linux准备的。

# Linux通过pass配置credentials store #

以下是配置步骤。

## 1、 安装gnupg2和pass ##

sudo apt install gnupg2 pass

## 2、安装docker-credential-pass ##

如下是0.6.3版本的下载地址，下载的是amd64的docker-credential-pass（不是上面的pass）。

wget https://github.com/docker/docker-credential-helpers/releases/download/v0.6.3/docker-credential-pass-v0.6.3-amd64.tar.gz

下载后，解压，并将docker-credential-pass文件拷贝到`/usr/bin/`目录下，添加可执行权限。

## 3、登出docker hub ##

$ docker logout
    Removing login credentials for https://index.docker.io/v1/

## 4、修改docker配置，增加`"credsStore": "pass"` ##

> ··· $ cat ~/.docker/config.json \{ “auths”: \{\}, “credsStore”: “pass”, “HttpHeaders”: \{ “User-Agent”: “Docker-Client/19.03.6 (linux)” \} \} ···

## 5、gpg2 ##

生成GPG keypaire。记住这里设置的密码，这个密码是用来保存docker密码的。

$ gpg2 --full-generate-key
    gpg2 --full-generate-key
    gpg (GnuPG) 2.2.4; Copyright (C) 2017 Free Software Foundation, Inc.
    This is free software: you are free to change and redistribute it.
    There is NO WARRANTY, to the extent permitted by law.
    
    Please select what kind of key you want:
       (1) RSA and RSA (default)
       (2) DSA and Elgamal
       (3) DSA (sign only)
       (4) RSA (sign only)
    Your selection?
    ...

生成后可以`gpg2 -k`查看。

$ gpg2 -k
    gpg: checking the trustdb
    gpg: marginals needed: 3  completes needed: 1  trust model: pgp
    gpg: depth: 0  valid:   1  signed:   0  trust: 0-, 0q, 0n, 0m, 0f, 1u
    /home/bottle/.gnupg/pubring.kbx
    -------------------------------
    pub   rsa3072 2020-06-20 [SC]
          4B65C16E5349EC64D77A9EB1C1E8818FCC8126B8
    uid           [ultimate] silenceshell <me@ieevee.com>
    sub   rsa3072 2020-06-20 [E]

## 6、初始化pass ##

$ pass init me@ieevee.com
    mkdir: created directory '/home/bottle/.password-store/'
    Password store initialized for me@ieevee.com

## 7、docker login ##

登录后，查看 `.docker/config.json`，可以看到auths中*没有*保存用户名和密码信息。

$ cat ~/.docker/config.json
    {
    	"auths": {
    		"https://index.docker.io/v1/": {}
    	},
    	"HttpHeaders": {
    		"User-Agent": "Docker-Client/19.03.6 (linux)"
    	},
    	"credsStore": "pass"
    }

之后，就可以使用该用户的身份，进行docker后续的操作了。

Ref：

*  [Using a credential store for DockerHub login][]

[credentials store]: https://docs.docker.com/engine/reference/commandline/login/#credentials-store
[Using a credential store for DockerHub login]: https://www.antoniojgutierrez.com/2018/08/11/docker_login_password_store.html