操屁眼的视频在线免费看,日本在线综合一区二区,久久在线观看免费视频,欧美日韩精品久久综

作者/王一鈞

前言

registry默認(rèn)配置下是沒有認(rèn)證授權(quán)的,在沒有認(rèn)證的情況下用戶可以在registry中為所欲為，需要認(rèn)證授權(quán)則需要額外配置。基于token認(rèn)證的方式可以很好地將registry和認(rèn)證中心解耦，并能具有很高的安全性。harbor也是基于token的認(rèn)證方式。

Docker login

Docker login的流程具體流程如下：

假設(shè)registry部署在192.168.1.10上。用戶使用docker login命令請求registry：

 $ docker login 192.168.1.10

在用戶輸入用戶名密碼后，docker client將會發(fā)送一個Get請求到192.168.1.10/v2/。將會按照以下步驟進(jìn)行：

1.首先請求被proxy容器監(jiān)聽的80端口接收，nginx在這個容器中將請求轉(zhuǎn)發(fā)到Registry容器中。

2.Registry容器配置了基于token的權(quán)限認(rèn)證，因此會返回一個401的狀態(tài)碼，提示docker client去指定的url獲取一個有效的token。在harbor中這個url指向了Core Services提供的token service。

3.當(dāng)docker client接收到錯誤碼，重新發(fā)送一個根據(jù)Http規(guī)范的基本認(rèn)證并在header中嵌入了用戶名密碼的請求。

4.此請求通過轉(zhuǎn)發(fā)80端口后，nginx根據(jù)預(yù)先配置的規(guī)則再次將該請求轉(zhuǎn)發(fā)到UI容器，token service在UI容器中接收請求，并獲取用戶名密碼。

5.獲取用戶名密碼后，token service進(jìn)行權(quán)限認(rèn)證（內(nèi)部數(shù)據(jù)庫/LDAP），若認(rèn)證通過 則會在HttpResponse的body中返回一個由私鑰生成的token。

至此docker login流程結(jié)束docker會將用戶名密碼編碼后存儲到隱藏文件中。

配置

啟動基于token認(rèn)證的registry創(chuàng)建配置文件config.yml掛載到/etc/registry/config.yml。

HTTP/1.1 401 Unauthorized
Content-Type: application/json
Docker-Distribution-Api-Version: registry/2.0
Www-Authenticate: Bearer realm="http://192.168.79.1/archer/auth",service="harbor-registry",scope="repository:hello-world:pull,push"
Date: Thu, 10 Sep 2019 19:32:31 GMT
Content-Length: 235
Strict-Transport-Security: max-age=31536000


{"errors":[{"code":"UNAUTHORIZED","message":"access to the requested resource is not authorized","detail":[{"Type":"repository","Name":"hello-world","Action":"pull"},{"Type":"repository","Name":"hello-world","Action":"push"}]}]}

如何去認(rèn)證

客戶端首先去訪問registry，若registry需要認(rèn)證則會返回401 Unauthorized并且在header中的WWW-Authenticate會返回認(rèn)證地址，告訴客戶端去哪兒認(rèn)證。

例如一個用戶想去push一個名為hello-world：1.0的鏡像到registry。用戶就需要有一個hello-world倉庫push的權(quán)限。由于沒有認(rèn)證registry會返回以下內(nèi)容：

HTTP/1.1 401 Unauthorized
Content-Type: application/json
Docker-Distribution-Api-Version: registry/2.0
Www-Authenticate: Bearer realm="http://192.168.79.1/archer/auth",service="harbor-registry",scope="repository:hello-world:pull,push"
Date: Thu, 10 Sep 2019 19:32:31 GMT
Content-Length: 235
Strict-Transport-Security: max-age=31536000


{"errors":[{"code":"UNAUTHORIZED","message":"access to the requested resource is not authorized","detail":[{"Type":"repository","Name":"hello-world","Action":"pull"},{"Type":"repository","Name":"hello-world","Action":"push"}]}]}

基于registry的要求client就需要去http://192.168.79.1/archer/auth（上面配置的地址）獲取token。

服務(wù)端如何生成一個registry需要的客戶端

認(rèn)證服務(wù)端需要返回一個基于jwt范式的token，json web token包含以下3個部分：

1.Header

JWT的header是一個標(biāo)準(zhǔn)的JOSE header。typ字段是JWT，alg字段為識別簽名所要使用的算法，kid表示用于對token進(jìn)行簽名的密鑰的ID。

{
     "typ": "JWT",
     "alg": "RS256",
     "kid": "PYYO:TEWU:V7JH:26JV:AQTZ:LJC3:SXVJ:XGHA:34F2:2LAQ:ZRMK:Z7Q6"
 }

2.Claim Set

iss（Issuer）：token的發(fā)布者,該項(xiàng)必須與配置時(shí)的issuer相同。

sub（Subject）：標(biāo)記token給那個用戶,通常是用戶名或id,若請求未攜帶用戶信息時(shí)該字段應(yīng)為空字符串。

aud（Audience）：標(biāo)記token給哪個服務(wù),該項(xiàng)與上面配置文件中的service的值對應(yīng)。

exp（Expiration）：token應(yīng)該只在指定的日期和時(shí)間內(nèi)有效。

nbf（Not Before）：在指定日期之前使用,則該token無效。

iat（Issued At）：該token的發(fā)布時(shí)間。

jti（JWT ID）：唯一的JWT ID。

Example:

{
        "iss":"harbor-token-issuer",  
        "sub":"user",
        "aud":"harbor-registry",
        "exp":1576148010,
        "nbf":1576040010,
        "iat":1576040010,
        "jti":"wodUfng6C9aEriQ2",
        "access":null
    }

3.簽名（Signature）

該字段需要使用到前兩個header和claim set 的json字符串base64編碼：

header:eyJ0eXAiOiJKV1QiLCJraWQiOiJCS0VEOlpNS1A6TTZOTTpDTEEzOk5NNUQ6SUJNUjpLSlZROlpWNE86RU0zQzpIQk02OkhWNlM6QU8zUiIsImFsZyI6IlJTMjU2In0

Claim Set：

eyJpc3MiOiJoYXJib3ItdG9rZW4taXNzdWVyIiwic3ViIjoidXNlciIsImF1ZCI6ImhhcmJvci1yZWdpc3RyeSIsImV4cCI6MTU3NjE1OTM2MiwibmJmIjoxNTc2MDUxMzYyLCJpYXQiOjE1NzYwNTEzNjIsImp0aSI6IjQwTEY2eHZVaDBsNUxjV3QiLCJhY2Nlc3MiOm51bGx9

將以上字符串通過，拼接組成payload，加入私鑰進(jìn)行簽名得到后再base64編碼：

uPR3KCFi09BLd2DBn3i36jlx6QxNSTXyl4PKDfbyDa1Wzx310kA62Mo7O-8-S9eZ36icLhJofJaqg5r8wgFVdD56utSPmOr2rLNTHyuxxyjodqm-Kdp9GS4Gkj9Cp1wx0vH-z95CeQUrPYggGnJx_arUfN94UP7hf2Y5VCokoWhjpXm639XBPjcZCu5EcA17qHVHGwoeyhoEnQaUNgbb_PxdgK1ILPkKwjdjUXmtu-WceY4fttgjvJ6aU7Ll75_VfsxGQUpJqXbOGk_fLK513WTBx5IiKlnbNZpyR0BHxAYQUJOyquw9yzmiZy883uVLy26CCgyLDdLm4FqwByLJyQVv3-O2Tp_3hgBWfF7ivVH0fva_ss7NEzjAktKrj_hUUE2d_5FbD7r7kWuECYXOQaN2jUtDBFeFM3g9PPr0chBiR0Q2WISg8dsOduQ4RUKdC2iFdyZsWTPHZs_6I_6EAlzodZqF9YiyYfNekxxCS82JGoylkXCY54dNX9eJDEeX4nREIkrJpSuslLT7Ncsa_7qA30LoDW0EpozJK4fR_c4ZRvDk4hUwWehcNuoBjXWXvhou7eb9fI2xMHpZIH1wKSvq_XaQq8jTv3SJ3kCwcb7q9aW0QY8EOkrBMG8hfeH-Z7HUownpzjErCMiCNWibJ8DNsVV11vOR6eGM1oA6YYA

將以上三個字符串通過，拼接就得到了token。

{
   "token":"eyJ0eXAiOiJKV1QiLCJraWQiOiJCS0VEOlpNS1A6TTZOTTpDTEEzOk5NNUQ6SUJNUjpLSlZROlpWNE86RU0zQzpIQk02OkhWNlM6QU8zUiIsImFsZyI6IlJTMjU2In0.eyJpc3MiOiJoYXJib3ItdG9rZW4taXNzdWVyIiwic3ViIjoidXNlciIsImF1ZCI6ImhhcmJvci1yZWdpc3RyeSIsImV4cCI6MTU3NjE1OTM2MiwibmJmIjoxNTc2MDUxMzYyLCJpYXQiOjE1NzYwNTEzNjIsImp0aSI6IjQwTEY2eHZVaDBsNUxjV3QiLCJhY2Nlc3MiOm51bGx9.uPR3KCFi09BLd2DBn3i36jlx6QxNSTXyl4PKDfbyDa1Wzx310kA62Mo7O-8-S9eZ36icLhJofJaqg5r8wgFVdD56utSPmOr2rLNTHyuxxyjodqm-Kdp9GS4Gkj9Cp1wx0vH-z95CeQUrPYggGnJx_arUfN94UP7hf2Y5VCokoWhjpXm639XBPjcZCu5EcA17qHVHGwoeyhoEnQaUNgbb_PxdgK1ILPkKwjdjUXmtu-WceY4fttgjvJ6aU7Ll75_VfsxGQUpJqXbOGk_fLK513WTBx5IiKlnbNZpyR0BHxAYQUJOyquw9yzmiZy883uVLy26CCgyLDdLm4FqwByLJyQVv3-O2Tp_3hgBWfF7ivVH0fva_ss7NEzjAktKrj_hUUE2d_5FbD7r7kWuECYXOQaN2jUtDBFeFM3g9PPr0chBiR0Q2WISg8dsOduQ4RUKdC2iFdyZsWTPHZs_6I_6EAlzodZqF9YiyYfNekxxCS82JGoylkXCY54dNX9eJDEeX4nREIkrJpSuslLT7Ncsa_7qA30LoDW0EpozJK4fR_c4ZRvDk4hUwWehcNuoBjXWXvhou7eb9fI2xMHpZIH1wKSvq_XaQq8jTv3SJ3kCwcb7q9aW0QY8EOkrBMG8hfeH-Z7HUownpzjErCMiCNWibJ8DNsVV11vOR6eGM1oA6YYA",
   "expires_in":1800,
   "issued_at":"2019-12-11T08:02:42Z"
}

簡單的認(rèn)證服務(wù)器demo

基于Go語言寫的一個demo,使用的是beego框架github地址：

https://github.com/Archer1A/docker-registry-auth

-End-