我正在开发一个 GitLab CI 管道，它将部署我的 docker 堆栈。我正在尝试将 $DOCKER_HOST 设置为tcp://DROPLET_IP:2377，但我收到一条错误消息，指出我的证书不包含任何 IP SAN。我正在使用 Digital Ocean Droplet 进行测试，因此我还没有为我的 Droplet 设置域名。
deploy:
stage: deploy
image: docker:stable
services:
- docker:dind
variables:
DOCKER_HOST: "tcp://$DROPLET_IP:2377"
DOCKER_TLS_VERIFY: 1
before_script:
- mkdir -p ~/.docker
- echo "$TLS_CA_CERT" > ~/.docker/ca.pem
- echo "$TLS_CERT" > ~/.docker/cert.pem
- echo "$TLS_KEY" > ~/.docker/key.pem
script:
- docker login -u gitlab-ci-token -p "$CI_JOB_TOKEN" "$CI_REGISTRY"
- docker info
- docker stack deploy --with-registry-auth --compose-file=docker-stack.yml mystack
这是我在 GitLab CI 作业的输出中遇到的错误：
$ docker login -u gitlab-ci-token -p "$CI_JOB_TOKEN" "$CI_REGISTRY"
WARNING! Using --password via the CLI is insecure. Use --password-stdin.
error during connect: Post https://<ip-address>:2377/v1.39/auth: x509: cannot validate certificate for <ip-address> because it doesn't contain any IP SANs
我正在使用以下一组命令来生成我的证书（ca.pem, server-cert.pem and server-key.pem）我试图在我的deploy如上所述的阶段。我已经保存了TLS_CA_CERT, TLS_CERT and TLS_KEY到 GitLab CI 中使用的变量。
openssl genrsa -aes256 -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem
openssl genrsa -out server-key.pem 4096
openssl req -subj "/CN=<ip-address>" -sha256 -new -key server-key.pem -out server.csr
echo subjectAltName = IP:<ip-address> >> extfile.cnf
echo extendedKeyUsage = serverAuth >> extfile.cnf
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem \
-CAcreateserial -out server-cert.pem -extfile extfile.cnf
我看到您已将 IP 地址包含在subjectAltName
echo subjectAltName = IP:<ip-address> >> extfile.cnf
Check, 就像这里一样 https://serverfault.com/questions/611120/failed-tls-handshake-does-not-contain-any-ip-sans#comment728945_611121，如果这是配置问题：
我把 subjectAltName 放在了错误的部分。工作方法：基本上是我编辑的openssl.cnf，在部分[v3_ca]我添加了“subjectAltName = IP：192.168.2.107”。
生成新证书并添加到服务器+客户端。
您需要确保您的扩展已在v3_ca部分，如此处显示 https://stackoverflow.com/a/52669800/6309.
本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)
