Docker-API(远程连接)

开启 Docker API 可以实现多服务 Docker 全部托管到一起

## 生成 TLS证书
使用 https 模式是需要搭配 TLS证书 使用，需要提前创建
```bash
mkdir -p /root/docker-ca && cd /root/docker-ca  # 创建并进入存放证书目录
nano docker-ca.sh  # 创建生成证书脚本
chmod 755 docker-ca.sh  # 执行权限

./docker-ca.sh <域名(若是没有也填写IP)> <服务器IP>  # 运行脚本生成证书
  ./docker-ca.sh 101.36.119.189 101.36.119.189  # 例子(无域名)
  ./docker-ca.sh home.918178.xyz 127.0.0.1  # 例子(动态IP就写127.0.0.1)
```
需操作步骤说明：
```bash
Enter pass phrase for ca-key.pem:  # 创建证书密码
Verifying - Enter pass phrase for ca-key.pem: # 确认证书密码

Enter pass phrase for ca-key.pem:  # 验证证书密码(同上设置)

# 国家组织等设置，直接回车跳过即可
Country Name (2 letter code) [XX]:  # 国家名称,CN
State or Province Name (full name) []:  # 州或省名称
Locality Name (eg, city) [Default City]:  # 地区名称
Organization Name (eg, company) [Default Company Ltd]:  # 组织名称
Organizational Unit Name (eg, section) []:  # 组织单位名称
Common Name (eg, your name or your server's hostname) []:  # 名称或是服务器名称,随意
Email Address []:  # 邮箱地址

Enter pass phrase for ca-key.pem:  # 验证证书密码(同上设置)
```
`docker-ca.sh`，生成证书脚本，可以自行运行
```bash
#!/bin/sh

# 获取命令行参数，分别为域名(没有则也填IP地址),IP地址
DOMAIN=$1
IP=$2

echo "========================== 开始创建证书 =========================="
echo "___设置证书文件密码,需要输入两次密码___"
# 生成一个带有 AES-256 加密的 4096 位的私钥，并将其保存为 ca-key.pem
echo "123456" | echo "123456" | openssl genrsa -aes256 -out ca-key.pem 4096
echo "___输入刚设置的密码进行验证___"
echo "___后面的信息可以不填(直接回车)___"
# 基于私钥 ca-key.pem，生成自签名的 CA 证书,并设置有效期(天)，并保存为 ca.pem
openssl req -new -x509 -days 3650 -key ca-key.pem -sha256 -out ca.pem
# 生成一个 4096 位的私钥，并将其保存为 server-key.pem
openssl genrsa -out server-key.pem 4096
# 基于私钥 server-key.pem，生成一个证书签名请求（CSR），使用域名作为 CN
openssl req -subj "/CN=$DOMAIN" -sha256 -new -key server-key.pem -out server.csr
# 创建一个包含 subjectAltName 和 extendedKeyUsage 的配置文件 extfile.cnf
echo subjectAltName = DNS:$DOMAIN,IP:$IP >> extfile.cnf
echo extendedKeyUsage = serverAuth >> extfile.cnf
echo "___输入刚设置的密码进行验证___"
# 使用 CA 证书和私钥签署服务器的 CSR，生成服务器证书 server-cert.pem
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem -extfile extfile.cnf
# 生成一个客户端私钥 key.pem 和一个证书签名请求 client.csr
openssl genrsa -out key.pem 4096
openssl req -subj '/CN=client' -new -key key.pem -out client.csr
# 创建一个仅包含 extendedKeyUsage 的配置文件 extfile-client.cnf，用于客户端证书
echo extendedKeyUsage = clientAuth > extfile-client.cnf
# 使用 CA 证书和私钥签署客户端的 CSR，生成客户端证书 cert.pem
echo "___输入刚设置的密码进行验证___"
openssl x509 -req -days 365 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out cert.pem -extfile extfile-client.cnf

echo "========================== 更改证书权限 =========================="
# 更改文件权限，确保安全
# ca-key.pem、key.pem 和 server-key.pem 权限设置为 0400（只有所有者可读写）
chmod -v 0400 ca-key.pem key.pem server-key.pem
# ca.pem、server-cert.pem 和 cert.pem 权限设置为 0444（所有者和组成员可读）
chmod -v 0444 ca.pem server-cert.pem cert.pem

echo "========================== 证书说明 =========================="
echo "ca.pem,server-cert.pem,server-key.pem 为服务器Docker服务开启TSL验证使用"
echo "ca.pem,cert.pem,key.pem 为客户端连接服务器验证使用"
```

## 修改 docker 启动参数
http 仅可用于测试使用，正常使用一定要使用 https 加密的
端口默认：`http(2375)`,`https(2376)`，可以自行更改

```bash
# 查看 Docker 端口占用
netstat -tulpn | grep docker
ss -tulpn | grep docker

# 生成的证书说明
ca.pem,server-cert.pem,server-key.pem # 为服务器Docker服务开启TSL验证使用
ca.pem,cert.pem,key.pem # 为客户端连接服务器验证使用，需要导出
```

### override.conf 方式
```bash
# 修改 docker 启动参数(下列方式二选一)
systemctl edit docker  # 修改保存时注意文件名称(可能会给随机后缀名)
nano /etc/systemd/system/docker.service.d/override.conf  # 直接编辑配置文件

# ================== http(仅测试) ==================
[Service]
ExecStart=
ExecStart=/usr/bin/dockerd -H tcp://0.0.0.0:11011 -H fd:// --containerd=/run/containerd/containerd.sock

# ================== https(推荐) ==================
# 需搭配 TLS证书 使用,先创建证书再应用配置重启
[Service]
ExecStart=
ExecStart=/usr/bin/dockerd --tlsverify --tlscacert=/root/docker-ca/ca.pem --tlscert=/root/docker-ca/server-cert.pem --tlskey=/root/docker-ca/server-key.pem -H tcp://0.0.0.0:11011 -H fd:// --containerd=/run/containerd/containerd.sock

# 应用配置并重启Docker
systemctl daemon-reload && systemctl restart docker
```

### daemon.json 方式
若是提示 `Job for docker.service failed because the control process exited with error code.
See "systemctl status docker.service" and "journalctl -xe" for details.` 更换其它方式
```yaml
docker info  # 可以通过查看 docker 配置找到对应配置所在位置
nano /etc/docker/daemon.json  # 一般默认位置

{
  // ...... 原有配置项
  // 添加API远程连接支持;使用 TLS 加密通信;验证证书有效性;CA证书文件路径;证书文件路径;私钥文件路径
  "hosts": ["unix:///var/run/docker.sock", "tcp://0.0.0.0:11011"],
  "tls": true,
  "tlsverify": true,
  "tlscacert": "/root/docker-ca/ca.pem",
  "tlscert": "/root/docker-ca/server-cert.pem",
  "tlskey": "/root/docker-ca/server-key.pem"
}

# 应用配置并重启Docker
systemctl daemon-reload && systemctl restart docker
```

**参考教程：**
[Docker TLS证书](https://dpanel.cc/#/zh-cn/manual/system/remote)