Kann Docker Bild nicht von privaten Repo ziehen, wenn Minikube

Question

Ich versuche, Minikube für lokale kubernetes Entwicklung zu verwenden. Ich habe meine Docker-Umgebung eingerichtet, um die Docker-Daemon in dem mitgelieferten Minikube VM laufen zu verwenden (boot2docker) wie vorgeschlagen:

eval $(minikube docker-env) 

Sie setzt diese Umgebungsvariablen:

export DOCKER_TLS_VERIFY="1" 
export DOCKER_HOST="tcp://192.168.99.100:2376" 
export DOCKER_CERT_PATH="/home/jasonwhite/.minikube/certs" 

Wenn ich zu ziehen versuchen, ein Bild von unserem privaten docker Repository:

docker pull oururl.com:5000/myimage:v1 

ich diesen Fehler:

Error response from daemon: Get https://oururl.com:5000/v1/_ping: x509: certificate signed by unknown authority 

Es scheint, dass ich ein vertrauenswürdiges CA-Stammzertifikat irgendwie hinzufügen muss, aber bisher bei meinen Versuchen nicht erfolgreich war.

Ich kann das Repository feinen Hit mit curl unseres ca. root cert mit:

curl --cacert /etc/ssl/ca/ca.pem https://oururl.com:5000/v1/_ping 

Answer 1

ich mit einem Work-around kam für die Situation mit Anregungen aus diesen Quellen:

https://github.com/docker/machine/issues/1799

https://github.com/docker/machine/issues/1872

Ich habe mich in die Minikube VM (minikube ssh) eingeloggt und die /usr/local/etc/ssl/certs/ca-certificates.crt Datei bearbeitet, indem ich mein eigenes CA-Cert angefügt habe.

ich neu gestartet dann den Docker Dämon, während immer noch innerhalb der VM: sudo /etc/init.d/docker restart

Dies, dass nicht sehr elegant ist, wenn ich die Minikube VM neu starten, ich brauche diese manuellen Schritte jedes Mal zu wiederholen.

Als Alternative habe ich auch versucht, die --insecure-registry myurl.com:5000 Option in der DOCKER_OPTS Umgebungsvariable (neu gestartet Docker), aber das hat nicht für mich arbeiten.

Answer 2

Das Kubernetes documentation auf das ist ziemlich gut.

Je nachdem, wo Ihr privates Docker-Repository gehostet wird, sieht die Lösung ein wenig anders aus. Die Dokumentation erläutert, wie mit jedem Repository-Typ umgegangen wird.

Wenn Sie einen automatisierten Ansatz für diese Authentifizierung wünschen, sollten Sie ein Kubernetes-Geheimnis verwenden und die imagePullSecrets für Ihren Pod angeben.

Answer 3

Klingt wie Ihre Frage hat mehr mit Docker als Kubernetes zu tun. Das Docker CLI unterstützt eine Reihe von TLS-related options. Da Sie bereits das CA-Zertifikat haben, sollte in etwa so funktionieren:

docker --tlsverify --tlscacert=/etc/ssl/ca/ca.pem pull oururl.com:5000/myimage:v1 

Answer 4

Ich konnte sowieso nicht finden, um das Zertifikat in den minikube vm zu bekommen. Minikube verfügt jedoch über einen Befehlszeilenparameter, um eine unsichere Registrierung zu übergeben.

minikube start --insecure-registry=<HOST>:5000 

Dann zur Authentifizierung in der Registrierung zu konfigurieren, erstellen Sie ein Geheimnis.

kubectl create secret docker-registry tp-registry --docker-server=<REGISTRY>:5000 --docker-username=<USERNAME> --docker-password=<PASSWORD> --docker-email=<EMAIL> --insecure-skip-tls-verify=true 

secret auf das Konto Standard-Service wie in den kubernetes docs beschrieben.

Answer 5

Für ein http-Registry Dies funktioniert für mich die Schritte:

1) minikube ssh

2) bearbeiten /var/lib/boot2docker/profile und in den $ extra_args --insecure-registry yourdomain.com:5000

3) Starten Sie den Docker Daemon sudo /etc/init.d/docker restart

Answer 6

An addon was recently added to Minikube, die den Zugriff auf private Container-Register viel einfacher macht:

minikube addons configure registry-creds 
minikube addons enable registry-creds 

Answer 7

Sie müssen /etc/default/docker bearbeiten wie so aussehen:

# Docker Upstart and SysVinit configuration file 

# 
# THIS FILE DOES NOT APPLY TO SYSTEMD 
# 
# Please see the documentation for "systemd drop-ins": 
# https://docs.docker.com/engine/admin/systemd/ 
# 

# Customize location of Docker binary (especially for development testing). 
#DOCKERD="/usr/local/bin/dockerd" 

# Use DOCKER_OPTS to modify the daemon startup options. 
DOCKER_OPTS="--insecure-registry oururl.com:5000" 

# If you need Docker to use an HTTP proxy, it can also be specified here. 
#export http_proxy="http://127.0.0.1:3128/" 

# This is also a handy place to tweak where Docker's temporary files go. 
#export DOCKER_TMPDIR="/mnt/bigdrive/docker-tmp" 

Achten Sie darauf, zu sudo service docker stop und sudo docker start die Änderungen zu übernehmen. Sie sollten dann in der Lage sein, Push/Pull zu Ihrer Registrierung.