在内容信任沙箱中演示 | Play in a content trust sandbox (Engine)

本页面介绍了如何设置和使用沙盒进行信任实验。沙箱允许您在本地配置和尝试信任操作，而不会影响生产映像。

在通过这个沙盒之前，您应该仔细阅读信任概述。

先决条件

这些说明假定您正在Linux或macOS中运行。您可以在本地机器或虚拟机上运行此沙箱。您需要拥有在本地机器或虚拟机上运行docker命令的权限。

此沙箱需要您安装两个Docker工具：Docker Engine> = 1.10.0和Docker Compose> = 1.6.0。要安装Docker引擎，请从支持的平台列表中进行选择。要安装Docker Compose，请参阅此处的详细说明。

最后，您需要在本地系统或VM上安装一个文本编辑器。

沙箱里有什么？

如果您只是使用信任开箱即用，则只需要您的Docker Engine客户端并访问Docker Hub。沙盒模拟生产信任环境，并设置这些附加组件。

这意味着您将运行您自己的内容信任（公证）服务器和注册表。如果您只使用Docker Hub工作，则不需要这些组件。它们为您而构建在Docker Hub中。但是，对于沙箱，您可以构建自己的整个模拟生产环境。

在trustsandbox容器中，您与本地注册表交互而不是Docker Hub。这意味着您的日常图像存储库不被使用，他们受到保护

当你在使用沙盒时，你也会创建root和仓库密钥。沙箱被配置为存储trustsandbox容器内的所有密钥和文件。由于您在沙盒中创建的键仅用于播放，因此销毁容器也会破坏它们。

通过在trustsandbox容器中使用docker-in-docker图像，您不会使用任何您推送和拖动的图像来毁坏您的真正docker守护进程缓存。这些图像将存储在附加到此容器的匿名卷中，并且可以在销毁容器后销毁。

建造沙箱

在本节中，您将使用Docker Compose来指定如何设置trustsandbox容器，公证服务器和注册服务器并将其链接在一起。

1. 创建一个新的trustsandbox目录并进行更改。$ mkdir trustsandbox $ cd trustsandbox

2. 用你最喜欢的编辑器创建一个文件docker-compose.yml。例如，使用vim：

$ touch docker-compose.yml $ vim docker-compose.yml

3. 将以下内容添加到新文件中。version: "2" services: notaryserver: image: dockersecurity/notary_autobuilds:server-v0.4.2 volumes: - notarycerts:/go/src/github.com/docker/notary/fixtures networks: - sandbox environment: - NOTARY_SERVER_STORAGE_TYPE=memory - NOTARY_SERVER_TRUST_SERVICE_TYPE=local sandboxregistry: image: registry:2.4.1 networks: - sandbox container_name: sandboxregistry trustsandbox: image: docker:dind networks: - sandbox volumes: - notarycerts:/notarycerts privileged: true container_name: trustsandbox entrypoint: "" command: |- sh -c ' cp /notarycerts/root-ca.crt /usr/local/share/ca-certificates/root-ca.crt && update-ca-certificates && dockerd-entrypoint.sh --insecure-registry sandboxregistry:5000' volumes: notarycerts: external: false networks: sandbox: external: false

4. 保存并关闭文件。

5. 在本地系统上运行容器。$ docker-compose up -d

第一次运行这个时，docker-in-docker，Notary服务器和注册表映像将首先从Docker Hub下载。在sandbox中播放现在所有东西都已设置好了，你可以进入你的trustsandbox容器并开始测试Docker内容信任。在你的主机上，在trustsandbox容器中获取一个shell 。$ docker exec -it trustsandbox sh /＃测试一些信任操作现在，你将从trustsandbox容器中取出一些图像。

6. 下载docker图片以测试。

/ # docker pull docker/trusttest docker pull docker/trusttest Using default tag: latest latest: Pulling from docker/trusttest b3dbab3810fc: Pull complete a9539b34a6ab: Pull complete Digest: sha256:d149ab53f8718e987c3a3024bb8aa0e2caadf6c0328f1d9d850b2a2a67f2819a Status: Downloaded newer image for docker/trusttest:latest

7. 标记为推送到我们的沙盒注册表中：/＃docker标记docker / trusttest sandboxregistry：5000 / test / trusttest：latest

8. 启用内容信任。

/ # export DOCKER_CONTENT_TRUST=1

9. 识别信任服务器。/＃export DOCKER_CONTENT_TRUST_SERVER = https：// notaryserver：4443这一步只是必要的，因为沙盒正在使用它自己的服务器。通常，如果您使用的是Docker公共集线器，则此步骤不是必需的。

10. 测试图像。

/ # docker pull sandboxregistry:5000/test/trusttest Using default tag: latest Error: remote trust data does not exist for sandboxregistry:5000/test/trusttest: notaryserver:4443 does not have trust data for sandboxregistry:5000/test/trusttest

你看到一个错误，因为这个内容在尚未存在于notaryserver。

11. 推送并签署可信映像。/ # docker push sandboxregistry:5000/test/trusttest:latest The push refers to a repository sandboxregistry:5000/test/trusttest 5f70bf18a086: Pushed c22f7bc058a9: Pushed latest: digest: sha256:ebf59c538accdf160ef435f1a19938ab8c0d6bd96aef8d4ddd1b379edf15a926 size: 734 Signing and pushing trust metadata You are about to create a new root signing key passphrase.

此密码将用于保护签名系统中最敏感的密钥。请选择一个长而复杂的密码，并小心保持密码和密钥文件本身的安全和备份。强烈建议您使用密码管理器来生成密码并保持安全。将无法恢复此密钥。您可以在您的配置目录中找到该密钥。输入ID为27ec255的新根密钥的密码：为ID为27ec255的新根密钥重复密码：为ID为58233f9（sandboxregistry：5000 / test / trusttest）的新存储库密钥输入密码：为ID为58233f9（sandboxregistry：5000 / test / trusttest）的新存储库密钥重复密码：完成初始化“sandboxregistry：5000 / test / trusttest”已成功签署“sandboxregistry：5000 / test / trusttest”：latest

由于您第一次推送此存储库，因此docker会创建新的根和存储库密钥并要求您输入加密密码。如果在此之后再次推送，它只会要求您输入存储库密码，以便它可以解密密钥并再次签名。对ID为58233f9（sandboxregistry：5000 / test / trusttest）的新存储库密钥重复密码：完成初始化“sandboxregistry：5000 / test / trusttest”成功签名为“sandboxregistry：5000 / test / trusttest”：latest由于您要将此存储库Docker首次创建新的根和存储库密钥，并要求您输入密码来加密密码。如果在此之后再次推送，它只会要求您输入存储库密码，以便它可以解密密钥并再次签名。对ID为58233f9（sandboxregistry：5000 / test / trusttest）的新存储库密钥重复密码：完成初始化“sandboxregistry：5000 / test / trusttest”成功签名为“sandboxregistry：5000 / test / trusttest”：latest

由于您要将此存储库Docker首次创建新的根和存储库密钥，并要求您输入密码来加密密码。如果在此之后再次推送，它只会要求您输入存储库密码，以便它可以解密密钥并再次签名。码头工人创建新的根和存储库密钥，并要求您输入用于加密它们的密码。如果在此之后再次推送，它只会要求您输入存储库密码，以便它可以解密密钥并再次签名。码头工人创建新的根和存储库密钥，并要求您输入用于加密它们的密码。如果在此之后再次推送，它只会要求您输入存储库密码，以便它可以解密密钥并再次签名。

12. 试着拉你刚才推送的图片：

/ # docker pull sandboxregistry:5000/test/trusttest Using default tag: latest Pull (1 of 1): sandboxregistry:5000/test/trusttest:latest@sha256:ebf59c538accdf160ef435f1a19938ab8c0d6bd96aef8d4ddd1b379edf15a926 sha256:ebf59c538accdf160ef435f1a19938ab8c0d6bd96aef8d4ddd1b379edf15a926: Pulling from test/trusttest Digest: sha256:ebf59c538accdf160ef435f1a19938ab8c0d6bd96aef8d4ddd1b379edf15a926 Status: Downloaded newer image for sandboxregistry:5000/test/trusttest@sha256:ebf59c538accdf160ef435f1a19938ab8c0d6bd96aef8d4ddd1b379edf15a926 Tagging sandboxregistry:5000/test/trusttest@sha256:ebf59c538accdf160ef435f1a19938ab8c0d6bd96aef8d4ddd1b379edf15a926 as sandboxregistry:5000/test/trusttest:latest

测试恶意图像

数据损坏时会发生什么情况，并且在启用信任时尝试将其拉出？在本节中，您将进入sandboxregistry并篡改一些数据。然后，你试着拉它。

• 保持trustsandbox外壳和容器运行。

• 从您的主机打开一个新的交互式终端，并在sandboxregistry容器中获得一个shell 。

$ docker exec -it sandboxregistry bash root@65084fc6f047:/#

• 列出test/trusttest您推送的映像的层次：

root@65084fc6f047:/# ls -l /var/lib/registry/docker/registry/v2/repositories/test/trusttest/_layers/sha256 total 12 drwxr-xr-x 2 root root 4096 Jun 10 17:26 a3ed95caeb02ffe68cdd9fd84406680ae93d633cb16422d00e8a7c22955b46d4 drwxr-xr-x 2 root root 4096 Jun 10 17:26 aac0c133338db2b18ff054943cee3267fe50c75cdee969aed88b1992539ed042 drwxr-xr-x 2 root root 4096 Jun 10 17:26 cc7629d1331a7362b5e5126beb5bf15ca0bf67eb41eab994c719a45de53255cd

• 切换到其中一个图层的注册表存储（请注意，它位于不同的目录中）：

root@65084fc6f047:/# cd /var/lib/registry/docker/registry/v2/blobs/sha256/aa/aac0c133338db2b18ff054943cee3267fe50c75cdee969aed88b1992539ed042

• 将恶意数据添加到其中一个trusttest图层：root @ 65084fc6f047：/＃echo“恶意数据”>数据

• 回到你的trustsandbox终端。

• 列出trusttest图像。/ # docker images | grep trusttest REPOSITORY TAG IMAGE ID CREATED SIZE docker/trusttest latest cc7629d1331a 11 months ago 5.025 MB sandboxregistry:5000/test/trusttest latest cc7629d1331a 11 months ago 5.025 MB sandboxregistry:5000/test/trusttest <none> cc7629d1331a 11 months ago 5.025 MB

• trusttest:latest从我们的本地缓存中删除图像。

/ # docker rmi -f cc7629d1331a Untagged: docker/trusttest:latest Untagged: sandboxregistry:5000/test/trusttest:latest Untagged: sandboxregistry:5000/test/trusttest@sha256:ebf59c538accdf160ef435f1a19938ab8c0d6bd96aef8d4ddd1b379edf15a926 Deleted: sha256:cc7629d1331a7362b5e5126beb5bf15ca0bf67eb41eab994c719a45de53255cd Deleted: sha256:2a1f6535dc6816ffadcdbe20590045e6cbf048d63fd4cc753a684c9bc01abeea Deleted: sha256:c22f7bc058a9a8ffeb32989b5d3338787e73855bf224af7aa162823da015d44c

Docker不会重新下载它已经缓存的图像，但我们希望Docker尝试从注册表中下载被篡改的图像并拒绝它，因为它是无效的。

• 再次拉动图像。这将从注册表中下载图像，因为我们没有缓存它。

/ # docker pull sandboxregistry:5000/test/trusttest Using default tag: latest Pull (1 of 1): sandboxregistry:5000/test/trusttest:latest@sha256:35d5bc26fd358da8320c137784fe590d8fcf9417263ef261653e8e1c7f15672e sha256:35d5bc26fd358da8320c137784fe590d8fcf9417263ef261653e8e1c7f15672e: Pulling from test/trusttest aac0c133338d: Retrying in 5 seconds a3ed95caeb02: Download complete error pulling image configuration: unexpected EOF

你会看到拉操作没有完成，因为信任系统无法验证图像。

沙盒中更多玩法

现在，您的本地系统上有一个完整的Docker内容信任沙箱，可以随时使用它并查看它的行为。如果您发现Docker存在任何安全问题，请随时通过security@docker.com向我们发送电子邮件。

清理你的沙箱

完成后，要清理所有已启动的服务和已创建的所有匿名卷，只需在创建Docker Compose文件的目录中运行以下命令：