问题：如何在使用 `docker login` 时忽略证书验证？

Question

在使用 `docker login` 命令登录私有镜像仓库时，有时会由于自签名证书或证书不可信导致报错：`x509: certificate signed by unknown authority`。这是由于 Docker 默认严格校验 TLS 证书所致。那么，如何在使用 `docker login` 时忽略证书验证？常见解决方法是通过配置 Docker 守护进程跳过 TLS 验证。可在 Docker 客户端命令中设置 `--insecure-registry` 参数，或修改守护进程配置文件 `/etc/docker/daemon.json`，添加目标仓库地址至 `insecure-registries` 列表中。完成配置后重启 Docker 服务即可生效。需要注意的是，忽略证书验证会降低通信安全性，建议仅在测试环境或受信任网络中使用此方式。

Answer 1

一、问题背景：Docker 登录私有仓库时的证书验证问题

在使用 docker login 命令登录私有镜像仓库时，用户可能会遇到如下报错：

x509: certificate signed by unknown authority

该错误通常出现在使用自签名证书或证书未被系统信任的私有仓库环境中。Docker 客户端默认启用 TLS 安全机制，要求连接的镜像仓库必须使用有效的、受信任的 SSL/TLS 证书。

此问题的核心在于 Docker 客户端与守护进程之间的安全通信机制，它依赖于标准的 TLS 验证流程。

二、常见解决方法：配置不安全注册表（Insecure Registry）

为了临时绕过证书验证，可以在 Docker 守护进程中配置 --insecure-registry 参数，或者在 /etc/docker/daemon.json 文件中添加目标仓库地址到 insecure-registries 列表中。

• 命令行方式（不推荐长期使用）：

  docker --insecure-registry myregistry:5000

• 配置文件方式（推荐）：

  {
    "insecure-registries": ["myregistry:5000"]
  }

三、配置步骤详解

1. 编辑守护进程配置文件：sudo vi /etc/docker/daemon.json
2. 添加目标仓库地址至 insecure-registries 数组中
3. 保存并退出编辑器
4. 重启 Docker 服务：sudo systemctl restart docker
5. 再次执行 docker login myregistry:5000 命令，应可成功登录

四、安全性分析与建议

虽然配置 insecure-registries 可以快速解决问题，但会带来潜在的安全风险。以下是一些关键点：

风险项	说明
中间人攻击（MITM）	不验证证书意味着攻击者可能截取通信内容
数据泄露	镜像传输过程中可能被窃取或篡改
合规性问题	在生产环境中禁用证书验证可能违反企业安全策略

五、替代方案与最佳实践

为了兼顾安全与便利，建议采取以下替代方案：

• 将自签名证书导入系统信任链：update-ca-trust（适用于 Red Hat 系列系统）
• 使用组织内部的私有 CA 颁发证书，并部署至所有客户端
• 在 CI/CD 流水线中自动处理证书信任逻辑
• 使用 DOCKER_TLS_VERIFY=0 环境变量临时禁用 TLS 验证（仅限调试）

六、流程图：Docker 登录私有仓库证书验证处理流程

graph TD
    A[用户执行 docker login] --> B{证书是否可信？}
    B -- 是 --> C[登录成功]
    B -- 否 --> D[报错：x509: certificate signed by unknown authority]
    D --> E{是否配置了 insecure-registries？}
    E -- 是 --> F[跳过证书验证，登录成功]
    E -- 否 --> G[提示证书错误，登录失败]