Docker仓库实现安全HTTPS访问需配置受信CA签发的TLS证书、强制HTTPS并禁用HTTP回退，客户端须信任证书，再配合认证、访问控制与网络策略加固。
要让 Docker 仓库（如 Harbor、Registry 或自建 registry）支持 HTTPS 并实现安全访问，核心是正确配置 TLS 证书、强制 HTTPS 通信，并关闭不安全的 HTTP 回退。单纯启用 HTTPS 不等于安全，还需配合客户端信任、认证机制与网络策略。
使用有效证书而非自签名证书
自签名证书虽可启用 HTTPS，但 Docker 客户端默认拒绝信任，需手动配置 --insecure-registry（已弃用）或在 daemon.json 中添加 insecure-registries 列表，这会削弱传输层安全性。生产环境应使用由受信 CA（如 Let's Encrypt、企业内网 CA）签发的证书。
- 域名必须与证书 Subject Alternative Name（SAN）完全匹配，例如 registry.example.com；IP 地址直连需在 SAN 中显式包含该 IP
- 证书链要完整：registry 服务需同时提供服务器证书 + 中间证书（root 证书通常由客户端内置，无需部署）
- 私钥权限设为 600，避免泄露；证书文件建议放在 /etc/docker/certs.d/registry.example.com:443/ 下供客户端识别（仅限 Docker CLI 连接时自动加载）
强制 Registry 启用 TLS 并禁用 HTTP
Docker Registry 默认监听 5000 端口且支持 HTTP。即使配置了 HTTPS，若未显式关闭 HTTP，攻击者仍可能通过中间人劫持未加密请求。需通过配置确保只响应 HTTPS。
- 修改 config.yml：设置 http.addr 为 127.0.0.1:5000（仅本地监听），并删除或注释掉 http.host 字段；启用 https 段，指定 certificate 和 key 路径
- 若使用反向代理（如 Nginx、Traefik），应在代理层终止 TLS，并将 registry 后端设为 HTTP（仅限内网通信），同时禁止外部直接访问 registry 原生端口
- 验证方式：curl -I http://registry.example.com → 应返回 301 或连接拒绝；curl -I https://registry.example.com → 返回 200 或 401
客户端安全访问配置
Docker 客户端需正确识别并信任 registry 的证书，否则 push/pull 会失败。
- Linux 主机：将 registry 的 CA 证书（非私钥）复制到 /etc/docker/certs.d/registry.example.com:443/ca.crt，然后重启 docker daemon
- macOS Docker Desktop：证书需导入系统钥匙串并设为“始终信任”，或通过 Docker Desktop 设置 → Resources → TLS Certificates 配置
- CI/CD 环境（如 Jenkins、GitLab Runner）：在执行节点上同样部署 ca.crt，并确保运行 Docker 的用户能读取；避免在脚本中硬编码 --insecure-registry
- 验证命令：docker login registry.example.com 应成功；docker pull registry.example.com/busybox 不应报 x509 certificate signed by unknown authority
配套加固措施不可少
HTTPS 是基础，但不是全部。还需结合身份认证、访问控制与审计能力提升整体安全性。
- 启用基于 token 的认证（如与 Dex、LDAP 或 OIDC 集成），禁用匿名拉取（registry 配置 auth: htpasswd 或 token）
- 限制镜像推送权限，按项目/命名空间分配角色（Harbor 中可设 project admin、developer、guest）
- 开启内容信任（Notary）或使用 Cosign 签名镜像，配合镜像扫描（Trivy、Clair）防范恶意镜像
- 通过防火墙或 Kubernetes NetworkPolicy 限制 registry 端口仅对可信子网开放，避免公网裸露
