【运维】portainer管理远程docker和docker-swarm集群

Dear 丶 2024-04-26 10:48 17阅读 0赞

使用前请先[安装docker和docker-compose][docker_docker-compose]，同时完成[docker-swarm集群初始化][docker-swarm]

## 一、portainer-ce部署 ##

部署portainer-ce实时管理本机docker，使用docker-compose一键拉起

#### docker-compose.yml ####

version: '3'
    services:
      portainer:
        container_name: portainer
        #image: portainer/portainer
        image: 6053537/portainer-ce
        #image: portainer/portainer-ce
        command: -H unix:///var/run/docker.sock
        ports:
          - 9000:9000
        volumes:
          - /var/run/docker.sock:/var/run/docker.sock
          - portainer_data:/data
        restart: always
    volumes:
      portainer_data:

`6053537/portainer-ce` 此镜像为中文版本，效果如下  
![在这里插入图片描述][8391c5940d224ea690a8946faed8aeaa.png]  
管理本地docker比较简单，直接使用`volumes`挂载目录即可 `/var/run/docker.sock:/var/run/docker.sock`

## 二、管理远程docker和docker-swarm步骤 ##

### 1、开启docker远程访问 ###

#### 1）低安全性开启（不推荐） ####

直接在守护进程服务文件后添加`-H tcp://0.0.0.0:2375`配置即可

# 修改守护进程文件
    vim /usr/lib/systemd/system/docker.service
    
    ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock -H tcp://0.0.0.0:2375

#### 2）高安全性开启（推荐） ####

需要先行[生成TLS证书文件][TLS]  
这里直接提供一份大佬写好的TLS证书生成脚本

##### 2.1、使用gen-TLS.sh脚本生成TLS证书 #####

在`/etc/docker/certs`创建`gen-TLS.sh`

mkdir -p /etc/docker/certs && cd /etc/docker/certs && vi gen-TLS.sh 
    
    chmod +x /etc/docker/certs/gen-TLS.sh
    
    ./gen-TLS.sh

`gen-TLS.sh`脚本内容如下

#!/bin/bash
    #
    # -------------------------------------------------------------
    # 自动创建 Docker TLS 证书
    # wget https://gitee.com/dromara/Jpom/raw/master/script/docker-tls.sh
    # curl -fsSL https://get.docker.com | bash -s docker --mirror Aliyun
    # systemctl daemon-reload && systemctl restart docker
    # -------------------------------------------------------------
    # 以下是配置信息
    # --[BEGIN]------------------------------
    NOW_PATH=$(
    	cd "$(dirname "$0")" || exit
    	pwd
    )"/"
    echo "当前目录：${NOW_PATH} 证书文件将保存在此文件夹下"
    read -p "请输入证书使用的 IP 地址或者 HOST: " HOST
    #
    echo "您输入的是：${HOST} 证书只能在这个 IP 或者 HOST 下使用,证书密码和输入的一致"
    # --[INIT PARAMETER]------------------------------
    PASSWORD="$HOST"
    COUNTRY="CN"
    STATE="$HOST"
    CITY="$HOST"
    ORGANIZATION="$HOST"
    ORGANIZATIONAL_UNIT="Dev"
    COMMON_NAME="$HOST"
    EMAIL="$HOST@docker-tls.com"
    # --[END]--
    # Generate CA key
    openssl genrsa -aes256 -passout "pass:$PASSWORD" -out "ca-key.pem" 4096
    # Generate CA
    openssl req -new -x509 -days 365 -key "ca-key.pem" -sha256 -out "ca.pem" -passin "pass:$PASSWORD" -subj "/C=$COUNTRY/ST=$STATE/L=$CITY/O=$ORGANIZATION/OU=$ORGANIZATIONAL_UNIT/CN=$COMMON_NAME/emailAddress=$EMAIL"
    # Generate Server key
    openssl genrsa -out "server-key.pem" 4096
    # Generate Server Certs.
    openssl req -subj "/CN=$COMMON_NAME" -sha256 -new -key "server-key.pem" -out server.csr
    rm -f extfile.cnf
    echo "subjectAltName = DNS.1:$HOST,IP.1:127.0.0.1,IP.2:$HOST" >>extfile.cnf
    echo "extendedKeyUsage = serverAuth" >>extfile.cnf
    openssl x509 -req -days 365 -sha256 -in server.csr -passin "pass:$PASSWORD" -CA "ca.pem" -CAkey "ca-key.pem" -CAcreateserial -out "server-cert.pem" -extfile extfile.cnf
    # Generate Client Certs.
    rm -f extfile.cnf
    openssl genrsa -out "key.pem" 4096
    openssl req -subj '/CN=client' -new -key "key.pem" -out client.csr
    echo "extendedKeyUsage = clientAuth" >>extfile.cnf
    openssl x509 -req -days 365 -sha256 -in client.csr -passin "pass:$PASSWORD" -CA "ca.pem" -CAkey "ca-key.pem" -CAcreateserial -out "cert.pem" -extfile extfile.cnf
    rm -f client.csr server.csr ca.srl extfile.cnf
    
    # check
    if [ -f "${NOW_PATH}key.pem" -a -f "${NOW_PATH}ca.pem" -a -f "${NOW_PATH}ca-key.pem" -a -f "${NOW_PATH}server-cert.pem" -a -f "${NOW_PATH}server-key.pem" ]; then
    	echo "证书生成完成"
    	echo "客户端使用文件：key.pem ca.pem cert.pem"
    	echo "Docker 端使用文件：ca.pem server-cert.pem server-key.pem"
    	echo "Docker 推荐配置内容：-H tcp://0.0.0.0:2375 --tlsverify --tlscacert=${NOW_PATH}ca.pem --tlscert=${NOW_PATH}server-cert.pem --tlskey=${NOW_PATH}server-key.pem"
    else
    	echo "证书生成不完成,请检查配置和根据错误日志排查"
    fi

执行此脚本会提升让输入`IP`，此IP为你开启远程docker权限的IP，被管理的远程docker的IP  
![在这里插入图片描述][5954135b1d0a4f04ad1265992e36fd4b.png]  
脚本执行结果如下  
![在这里插入图片描述][6155bf15f2cb4aaa92a2c926c46932cf.png]  
按照脚本提示

客户端使用文件：key.pem ca.pem cert.pem
    Docker端使用文件：ca.pem server-cert.pem server-key.pem

这里客户端指`portainer`，我们将会在portainer中使用到`key.pem ca.pem cert.pem`这三个证书文件

##### 2.2、配置使用TLS证书开启docker远程访问权限 #####

# 修改守护进程文件
    vim /usr/lib/systemd/system/docker.service
    
    ExecStart=/usr/bin/dockerd -H fd:// --containerd=/run/containerd/containerd.sock --tlsverify --tlscacert=/etc/docker/certs/ca.pem --tlscert=/etc/docker/certs/server-cert.pem --tlskey=/etc/docker/certs/server-key.pem -H tcp://0.0.0.0:2375

### 2、在portainer中添加远程docker ###

![在这里插入图片描述][d5a06761a953407088034fc58625058b.png]  
这里以第二项`docker-swarm`为例  
![在这里插入图片描述][3e3e6476f08f4ed0b025a52095371d22.png]  
选着`API`这种方式，填写IP和PORT，勾选TLS，将脚本生成的三个证书文件`key.pem ca.pem cert.pem`对应添加  
![在这里插入图片描述][b4e6bcb2eb824227a63050760e25b777.png]  
成功后在首页即可看到相关信息如下  
![在这里插入图片描述][561d93e69c4d4d1b8b055bf665503b6b.png]  
参考：[Docker Swarm（十）Portainer 集群可视化管理][Docker Swarm_Portainer]

[docker_docker-compose]: https://blog.csdn.net/UberSoldier/article/details/136682672
[docker-swarm]: https://blog.csdn.net/UberSoldier/article/details/136567043
[8391c5940d224ea690a8946faed8aeaa.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/26/887d7a9e76bb40299ee3eee51fccf7da.png
[TLS]: https://jpom.top/pages/practice/docker-cli/#%E6%B7%BB%E5%8A%A0-docker
[5954135b1d0a4f04ad1265992e36fd4b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/26/480d0a77a21a43a4a57917e52b491618.png
[6155bf15f2cb4aaa92a2c926c46932cf.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/26/d0eee37a92b64a17828ebbcd3f767a5a.png
[d5a06761a953407088034fc58625058b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/26/fd4b7ff6708e43128b0e8075d9e7e129.png
[3e3e6476f08f4ed0b025a52095371d22.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/26/75be42adf34942989d05bb5ab0c61164.png
[b4e6bcb2eb824227a63050760e25b777.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/26/f54b0510747e40b688c903110e6c7f21.png
[561d93e69c4d4d1b8b055bf665503b6b.png]: https://image.dandelioncloud.cn/pgy_files/images/2024/04/26/1adf1adb2b2147ffbf1becc54abb40f5.png
[Docker Swarm_Portainer]: https://www.cnblogs.com/caoweixiong/p/12383598.html