docker镜像传输加密的核心是建立可信通信通道+身份验证+协议加固的组合方案：强制https、客户端信任ca证书、启用mtls双向认证、叠加docker content trust或cosign签名验证，确保机密性与完整性。
Docker 镜像传输加密的核心是确保镜像在推送（push）和拉取（pull）过程中不被窃听、篡改或中间人劫持。这不是加个密码就行，而是要建立可信通信通道+身份验证+协议加固的组合方案。
启用 TLS 加密通信
这是最基础也最关键的一步。所有私有仓库（如 Harbor、Nexus、自建 registry）必须强制使用 HTTPS，禁用 HTTP 明文传输。
- 为仓库域名申请或生成有效 TLS 证书（生产环境建议使用 CA 签发，内网可自签名但需客户端信任）
- Nginx 或 registry 服务配置中开启 SSL，并指定证书路径与 TLS 版本（至少 TLSv1.2，推荐 TLSv1.3）
- 确保仓库监听地址为 https://registry.example.com:443，而非 http://
配置 Docker 客户端信任 CA 证书
即使仓库启用了 HTTPS，Docker 默认只信任公网根证书。私有仓库用自签名证书时，必须手动导入 CA 公钥。
- 将 CA 证书（如
ca.crt）复制到客户端指定路径：/etc/docker/certs.d/registry.example.com:443/ca.crt - 路径中的域名和端口必须与实际访问地址完全一致（例如用 IP 访问就写 IP，不能写域名）
- 重启 Docker daemon 才能生效：
sudo systemctl restart docker
启用双向 TLS（mTLS）认证
仅服务端证书只能防窃听，无法防未授权客户端接入。高安全场景应要求客户端也提供证书，实现双向身份确认。
- 用同一 CA 为每个可信客户端签发独立证书（
client.crt+client.key） - 在 Docker daemon 配置中启用 TLS 验证：
{"tls": true, "tlscacert": "/path/to/ca.crt", "tlscert": "/path/to/client.crt", "tlskey": "/path/to/client.key"} - 仓库侧需配置支持客户端证书校验（Harbor 可在“认证模式”中启用 mTLS）
配合镜像签名机制增强完整性
TLS 解决传输机密性，但不保证镜像内容未被替换。需叠加签名验证，形成“加密 + 签名”双保险。
- 启用 Docker Content Trust（DCT）：
export DOCKER_CONTENT_TRUST=1 - 推送时自动签名，拉取时强制校验签名有效性；失败则拒绝拉取
- 企业级推荐使用 cosign 工具签名，支持 OCI 兼容镜像，且可集成 CI/CD 自动化验签
