如何在Docker中利用Registry-Auth配置私有镜像库的强认证访问控制体系-linux运维-PHP中文网

推荐用 docker_auth 搭建强认证私有镜像库，因其基于标准 Token 认证实现细粒度权限控制；它分离认证与授权，支持按仓库前缀、用户组配置 pull/push/delete 等差异化策略，远超 htpasswd 的简单密码校验能力。

如何在docker中利用registry-auth配置私有镜像库的强认证访问控制体系

用 docker_auth 搭建强认证的私有镜像库，是生产环境最推荐的做法。它不依赖基础用户名密码，而是通过标准 Token 认证流程实现细粒度权限控制，能真正支撑企业级访问策略。

为什么选 docker_auth 而不是 htpasswd

htpasswd 只做身份核验，无法区分“谁可以 pull 哪个仓库”或“谁只能 push 不能 delete”。docker_auth 则把认证和授权拆开：先由它签发短期 Token，再按 ACL 规则动态决定每次请求是否放行。比如可配置：

开发组只能 pull 和 push dev/ 开头的镜像
测试组对 test/ 镜像只有 pull 权限
运维账号拥有全部仓库的 delete 权限

快速启动 docker_auth 服务

以静态用户+ACL 文件方式为例（适合中小团队）：

准备两个配置文件：auth_config.yml（定义用户与密码）、acl.yml（定义权限规则）

运行命令：

docker run -d \
  --name docker_auth \
  -p 5001:5001 \
  -v $(pwd)/auth_config.yml:/config/auth_config.yml \
  -v $(pwd)/acl.yml:/config/acl.yml \
  -v /var/log/docker_auth:/logs \
  --restart=always \
  cesanta/docker_auth:latest \
  /config/auth_config.yml

其中 auth_config.yml 示例含 bcrypt 加密密码，acl.yml 中每条 rule 明确指定 match（匹配条件）、actions（允许操作）和 users（适用账户）。

让 Registry 对接 docker_auth

修改 Registry 的 config.yml，将 auth 段指向 docker_auth 地址：

Docker Compose Optimizer

优化 Docker Compose 配置，适用于开发和生产环境——审计服务、网络、卷、健康检查和资源管理。

下载

auth:
  token:
    realm: "http://your-auth-server:5001/auth"
    service: "your-registry-domain"
    issuer: "your-auth-server"
    rootcertbundle: /etc/registry/auth.crt

注意：realm 必须是可访问的 HTTP 或 HTTPS 地址；若 docker_auth 未启用 TLS，Registry 容器需挂载其证书或设为不校验证书（仅限内网）。