如何配置Docker的daemon.json支持国密TLS证书通道加固企业内网容器通信基线-linux运维-PHP中文网

要让docker守护进程支持国密tls，需三方面协同：一、用gmssl等国密openssl生成sm2/sm4证书链；二、在daemon.json中严格配置tlsverify、证书路径及hosts；三、验证国密握手、日志套件及内核cgroup v2支持。

如何配置docker的daemon.json支持国密tls证书通道加固企业内网容器通信基线

要让 Docker 守护进程支持国密 TLS（SM2/SM4）证书通道，核心是替换默认的 OpenSSL 密码套件、使用国密引擎签发证书，并在 daemon.json 中启用严格验证。这不是简单改几个路径，而是需从证书生成、守护进程配置、内核与运行时兼容性三方面协同加固。

必须用支持国密的 OpenSSL 3.0+（如 gmssl 或启用了国密引擎的 OpenSSL），不能用普通 RSA/AES 工具生成：

生成国密根 CA 私钥和证书：
gmssl genpkey -algorithm sm2 -out ca.key -pkeyopt ec_paramgen_curve:sm2p256v1
gmssl req -x509 -new -key ca.key -out ca.pem -days 3650 -subj "/CN=MyOrg-GM-CA"
为 Docker 主机生成服务端证书（关键：含 SAN，覆盖所有访问 IP/DNS）：
gmssl genpkey -algorithm sm2 -out server.key
gmssl req -new -key server.key -out server.csr -subj "/CN=localhost"
echo "subjectAltName = IP:192.168.10.5,IP:127.0.0.1,DNS:docker-prod.internal" > extfile.cnf
echo "extendedKeyUsage = serverAuth" >> extfile.cnf
gmssl x509 -req -in server.csr -CA ca.pem -CAkey ca.key -CAcreateserial -out server.pem -days 365 -extfile extfile.cnf
私钥权限必须设为 600，属主为 root:docker，否则 Docker 启动会拒绝加载。

编辑 /etc/docker/daemon.json，只保留安全监听项，禁用明文端口：

Wjs Localizing Video

用于端到端视频本地化流程的轻量编排器，路由至四个专注子技能——/wjs-transcribing-audio、/wjs-translating-subtitles...

下载

移除 tcp://:2375，仅保留 "tcp://0.0.0.0:2376"；
显式启用双向认证："tlsverify": true（比 "tls": true 更严格）；
指定证书路径（全部为绝对路径）：
"tlscacert": "/etc/docker/certs/ca.pem",
"tlscert": "/etc/docker/certs/server.pem",
"tlskey": "/etc/docker/certs/server.key"；
添加 "hosts" 字段明确声明监听方式，避免隐式 fallback：
"hosts": ["unix:///var/run/docker.sock", "tcp://0.0.0.0:2376"]。

配置后不能只看 Docker 是否启动，要确认国密协议真正生效：

用 gmssl s_client -connect 192.168.10.5:2376 -CAfile /etc/docker/certs/ca.pem 测试连接，输出中应出现 Server public key is SM2 和 SSL handshake has read ... bytes and written ... bytes，且无 no shared cipher 报错；
检查 Docker 日志：journalctl -u docker | grep -i "tls\|sm2\|cipher"，确认加载了国密套件（如 TLS_SM4_GCM_SM3）；
国产 OS（如 openEuler 22.03、UOS Server 23）需确认已启用 cgroup v2 并关闭 cgroup v1：
cat /proc/sys/fs/cgroup/max_depth 应返回 1（表示 v2 模式），否则 TLS 加固可能因内核资源隔离异常而降级。

管理终端或 CI/CD 节点需完成对应配置才能建立可信连接：

将 ca.pem、cert.pem（客户端证书）、key.pem（客户端私钥）放入 ~/.docker/ 目录；
设置环境变量（Linux/macOS）：
export DOCKER_HOST=tcp://192.168.10.5:2376
export DOCKER_TLS_VERIFY=1
export DOCKER_CERT_PATH=$HOME/.docker；
执行 docker info，返回结果中应包含 Security Options: seccomp apparmor gmsm（gmsm 表示国密模块已激活）。