docker构建失败

HZERO General
#1

docker构建登录harbor仓库报错，显示证书过期

image
image804×174 5.56 KB

#2

kubectl get secret --namespace kube-system harbor-harbor-ingress -o jsonpath="{.data.ca.crt}" | base64 --decode |sudo tee /etc/docker/certs.d/registry.inc.cn/harbor.crt
然后我重启docker还是显示过期

#3

我发现通过上面的命令生成的ca.crt证书和harbor仓库里面的根证书是同一个证书，image ，现在怎么生成这个 镜像库根证书呢？

#5
  1. 生成CA证书私钥。
openssl genrsa -out ca.key 4096
  1. 生成CA证书。
openssl req -x509 -new -nodes -sha512 -days 36500 \
-subj "/C=CN/ST=Shanghai/L=Shanghai/O=harbor/OU=huanengleasing.com/CN=registry.fr-inc.cn" \
-key ca.key \
-out ca.crt
  1. 生成证书私钥。
openssl genrsa -out registry.fr-inc.cn.key 4096
  1. 生成证书签名请求(CSR)。
openssl req -sha512 -new \
-subj "/C=CN/ST=Shanghai/L=Shanghai/O=harbor/OU=huanengleasing.com/CN=registry.fr-inc.cn" \
-key registry.fr-inc.cn.key \
-out registry.fr-inc.cn.csr
  1. 生成一个x509 v3扩展文件。
cat > v3.ext <<-EOF
authorityKeyIdentifier=keyid,issuer
basicConstraints=CA:FALSE
keyUsage = digitalSignature, nonRepudiation, keyEncipherment, dataEncipherment
extendedKeyUsage = serverAuth
subjectAltName = @alt_names

[alt_names]
DNS.1=registry.fr-inc.cn
EOF
  1. 签发 Harbor 证书。
openssl x509 -req -sha512 -days 36500 \
-extfile v3.ext \
-CA ca.crt -CAkey ca.key -CAcreateserial \
-in registry.fr-inc.cn.csr \
-out registry.fr-inc.cn.crt
  1. 替换现有证书
kubectl create secret generic harbor-harbor-ingress \
--dry-run -o yaml \
--from-file=ca.crt=ca.crt \
--from-file=tls.crt=registry.fr-inc.cn.crt \
--from-file=tls.key=registry.fr-inc.cn.key | kubectl apply -n c7n-system -f -
  1. 分发ca.crt证书文件

  • 将得到的 ca.crt证书文件拷贝至其他会使用到该Harbor的主机上

  • 证书放置于/etc/docker/certs.d/<Harbor域名>目录下（eg. 若Harbor域名为registry.fr-inc.cn，则将ca.crt证书文件放于/etc/docker/certs.d/registry.fr-inc.cn目录下即可）

1 个赞
#6

感谢大佬支持，搞定了

#7

请问一下，这个情况也是因为harbor证书的问题吗？我导入模板springboot项目是可以的。但是在导入模板项目MicroService后在进行ci构建的过程报了这个错，域名不是公网域名，是我在coredns配置的。

image
image800×174 9.09 KB

#8

你好，请按照文档进行 证书分发 。

https://choerodon.io/zh/docs/installation-configuration/steps/install/parts/base/harbor/

image
image2140×1532 381 KB

#9

你好，前面部署的时候就是按照这个操作了。刚刚重复操作了一次，下载该证书然后复制放到4台机器对应的文件路径，重新执行CI还是报同样的错。是我的操作不对吗？麻烦你了
image

#10

您好，请确认你放到4台机器是运行runner的机子吗？

#12

是的，这次搭建的集群就4台机器。为了避免没有生效，所以在四台机器的 /etc/docker 文件夹都配置了。 通过命令docker login harbor.choerodon-01.com.cn -u xxx -p xxx 是可以登录的

#13

你好，请在 kaniko 命令中 添加 --insecure 标记。

例如：

kaniko --insecure -c $CI_PROJECT_DIR/docker -f $CI_PROJECT_DIR/docker/Dockerfile -d ${DOCKER_REGISTRY}/${GROUP_NAME}/${PROJECT_NAME}:${CI_COMMIT_TAG}
#14

你好，添加 了--insecure 标记也是不可以。只能添加–skip-tls-verify 跳过harbor的证书校验才可以通过CI。