Docker Registry 보안 강화

Docker registry 를 “개인화 도커 이미지 저장소” 목적으로 이용한 만큼, 보안을 강화하는 것은 중요한 문제입니다. 다양한 방법 중에서도 사용자 인증 절차와 HTTPS 통신 두 가지를 중점적으로 살펴보겠습니다.


사용자 인증 절차 구축

사용자 인증을 통해 Docker registry의 보안성을 높일 수 있습니다. Docker registry는 silly, token, htpasswd 세 가지 사용자 인증 방법을 지원하고 있습니다.

인증 방법 세 가지

(1) silly

silly는 기본적으로 모든 요청을 허용하며, HTTP 요청에 Authorization 헤더가 없는 경우에만 접근을 거부합니다. (헤더 자체가 있는지 여부만 확인) 약한 보안 방법이고, 주로 테스트 환경에서만 사용됩니다.

1
2
3

auth:
  silly:
    realm: silly-realm # 인증 하려는 범위 (혹은 인증 대상 서비스)

(2) token

각 사용자에게 고유한 토큰을 부여하여 인증하는 방식입니다. 토큰은 일정 기간 동안 유효하며, 유효 기간이 지나면 다시 갱신해야 합니다.

1
2
3
4
5

auth:
  token:
    realm: token-realm # 인증 하려는 범위 (혹은 인증 대상 서비스)
    issuer: my-registry # 토큰 발급자
    rootcertbundle: /path/to/root/ca.crt # 토큰 발급자의 루트 인증서 파일 경로

(3) htpasswd

Apache의 htpasswd 파일 형식을 사용하여 사용자를 관리하고 인증하는 방법입니다. 높은 보안 수준을 제공합니다.

1
2
3
4

auth:
  htpasswd:
    realm: basic-realm # 인증 하려는 범위 (혹은 인증 대상 서비스)
    path: /path/to/htpasswd # 인증자료(htpasswd)의 경로


htpasswd

세 가지 방법 중, 가장 권장할 수 있는 ‘htpasswd’ 방식을 구현해보도록 하겠습니다.

htpasswd 명령어는 Apache 웹 서버에서 사용자를 관리하는 도구로, Apache HTTP Server 패키지에 포함되어 있습니다. 이 도구를 사용하려면 먼저 Apache 패키지를 설치해야 합니다.

(1) apache2-utils 설치

registry 컨테이너 안쪽에서 htpasswd 이용을 위해 apache2-utils 를 설치합니다.

1

$ apk add apache2-utils

(2) 사용자와 비밀번호 저장 파일 생성

특정 사용자(계정) 의 비밀번호 정보를 가지고 있을 파일을 만들어줍니다.
-B 옵션은 bcrypt 알고리즘을 이용해 비밀번호를 해싱하는 옵션입니다.
-c 옵션은 파일을 새로 생성하는 옵션입니다. (기존 파일이 있는 경우엔 이 옵션을 사용할지 말지 살펴야 합니다.)

1
2
3
4
5

$ htpasswd -Bc /path/to/htpasswd user-name

>>> New password : user-name 계정에 대한 비밀번호 입력
>>> Re-type new password : 비밀번호 한 번 더 입력
>>> Adding password for user user-name : 계정, 비밀번호 생성 완료

(3) docker registry 설정 수정

docker registry 설정에 htpasswd 를 이용한 인증을 추가해줍니다.

1

$ vi /etc/docker/registry/config.yml

1
2
3
4
5
6
7
8

#...(전략)

auth:
  htpasswd:
	realm: basic-realm
	path: /path/to/htpasswd

#...(후략)

(4) 재시작

설정 적용을 위해 docker registry 컨테이너를 재실행합니다.
이 작업은 registry 컨테이너 바깥, host 머신에서 진행해주세요.

1

$ docker restart <registry 컨테이너 이름 혹은 id>


테스트 해보기

docker registry에 접근해보겠습니다.

브라우저로 접근하기

먼저 브라우저로 접근해보면 아래와 같이 로그인을 요구하고, 로그인을 성공하면 컨텐츠를 보여줍니다.

curl을 통해 접근하기

curl 을 통해 접근시에는 아래와 같이 유저명과 패스워드를 명시해줘야 접근이 가능합니다.

1
2
3
4

# 유저명과 패스워드 명시하여 접근

$ curl http://유저명:패스워드@서버IP:포트/v2/_catalog
>>> {"repositories":["my_docker",ubuntu"]}

1
2
3
4
5

# 유저명과 패스워드 명시 없이 접근

$ curl http://서버IP:5000/v2/_catalog
>>> {"errors":[{"code":"UNAUTHORIZED","message":"authentication required","detail":[{"Type":"registry","Class":"","Name":"catalog","Action":"*"}]}]}

PUSH, PULL

이미지 push, pull을 할 때에는 docker login을 한 뒤에 진행해야 합니다.
아래를 참고해주세요.

1
2
3
4
5

$ docker login 서버ip:포트번호
>>> Username:
>>> Password

# Username과 Password를 순차적으로 입력해주시면 됩니다.

1

>>> docker push 서버ip:포트번호/repository명:버전


Reference

docker registry config : https://gdevillele.github.io/registry/configuration/
docker 사용자 인증 방법 : https://arisu1000.tistory.com/27799