#!/bin/bash
# Docker TLS 證書一鍵生成腳本
# 作用：生成安全加密證書，用于 Docker 遠(yuǎn)程加密訪問 (2376端口)
# 執(zhí)行：chmod +x docker_tls_gen.sh && ./docker_tls_gen.sh
# 注意：必須填寫你的服務(wù)器公網(wǎng)IP/域名

set -e

# ====================== 請修改這里 ======================
# 你的 Docker 服務(wù)器 IP 或者 域名（遠(yuǎn)程訪問使用）
DOCKER_HOST="192.168.1.100"
# 證書存放目錄
CERT_DIR="/etc/docker/certs.d"
# 證書有效期（天）
EXPIRY_DAYS=3650
# ========================================================

# 顏色輸出
RED='\033[0;31m'
GREEN='\033[0;32m'
YELLOW='\033[1;33m'
NC='\033[0m'

# 檢查 root 權(quán)限
if [ $(id -u) -ne 0 ]; then
    echo -e "${RED}請使用 root 用戶執(zhí)行腳本！${NC}"
    exit 1
fi

# 檢查 openssl
if ! command -v openssl &> /dev/null; then
    echo -e "${YELLOW}正在安裝 openssl...${NC}"
    yum install -y openssl
fi

# 創(chuàng)建證書目錄
mkdir -p ${CERT_DIR}
cd ${CERT_DIR}

echo -e "${GREEN}==================== 開始生成 Docker TLS 證書 ====================${NC}"
echo -e "${YELLOW}服務(wù)器地址：${DOCKER_HOST}${NC}"
echo -e "${YELLOW}證書目錄：${CERT_DIR}${NC}"

# ========== 1. 生成 CA 根證書 ==========
echo -e "\n${YELLOW}[1/5] 生成 CA 根證書...${NC}"
openssl genrsa -aes256 -passout pass:docker -out ca-key.pem 4096
openssl req -new -x509 -days ${EXPIRY_DAYS} -key ca-key.pem -passin pass:docker -sha256 -out ca.pem -subj "/CN=docker-ca"

# ========== 2. 生成服務(wù)端私鑰 ==========
echo -e "${YELLOW}[2/5] 生成服務(wù)端私鑰...${NC}"
openssl genrsa -aes256 -passout pass:docker -out server-key.pem 4096

# ========== 3. 生成服務(wù)端證書簽名請求 ==========
echo -e "${YELLOW}[3/5] 生成服務(wù)端證書簽名請求...${NC}"
openssl req -new -key server-key.pem -passin pass:docker -sha256 -out server.csr -subj "/CN=${DOCKER_HOST}"

# 配置擴(kuò)展信息（支持IP/域名）
echo "subjectAltName = IP:${DOCKER_HOST},IP:127.0.0.1" > extfile.cnf
echo "extendedKeyUsage = serverAuth" >> extfile.cnf

# ========== 4. 簽發(fā)服務(wù)端證書 ==========
echo -e "${YELLOW}[4/5] 簽發(fā)服務(wù)端證書...${NC}"
openssl x509 -req -days ${EXPIRY_DAYS} -in server.csr -CA ca.pem -CAkey ca-key.pem -passin pass:docker -CAcreateserial -out server-cert.pem -extfile extfile.cnf

# ========== 5. 生成客戶端證書 ==========
echo -e "${YELLOW}[5/5] 生成客戶端證書...${NC}"
openssl genrsa -aes256 -passout pass:docker -out key.pem 4096
openssl req -new -key key.pem -passin pass:docker -out client.csr -subj '/CN=client'
echo "extendedKeyUsage = clientAuth" > extfile-client.cnf
openssl x509 -req -days ${EXPIRY_DAYS} -in client.csr -CA ca.pem -CAkey ca-key.pem -passin pass:docker -CAcreateserial -out cert.pem -extfile extfile-client.cnf

# 刪除臨時(shí)文件
rm -f ./*csr ./*srl extfile.cnf extfile-client.cnf

# 移除證書密碼（方便Docker啟動(dòng)，無需手動(dòng)輸入密碼）
echo -e "\n${YELLOW}移除證書密碼...${NC}"
openssl rsa -in server-key.pem -passin pass:docker -out server-key.pem
openssl rsa -in key.pem -passin pass:docker -out key.pem

# 設(shè)置證書權(quán)限（Docker 強(qiáng)制要求）
echo -e "${YELLOW}設(shè)置證書安全權(quán)限...${NC}"
chmod -v 0400 ca-key.pem server-key.pem key.pem
chmod -v 0444 ca.pem server-cert.pem cert.pem
chown -v root:root ./*

# 打包客戶端證書
tar zcf docker-client-certs.tar.gz ca.pem cert.pem key.pem

echo -e "\n${GREEN}==================== 證書生成完成！====================${NC}"
echo -e "${GREEN}證書目錄：${CERT_DIR}${NC}"
echo -e "${GREEN}客戶端證書包：${CERT_DIR}/docker-client-certs.tar.gz${NC}"

# 輸出 Docker 啟動(dòng)配置
echo -e "\n${YELLOW}==================== Docker TLS 啟動(dòng)配置 ====================${NC}"
cat << EOF
請將以下配置寫入 /etc/docker/daemon.json ：
{
  "hosts": ["tcp://0.0.0.0:2376", "unix:///var/run/docker.sock"],
  "tls": true,
  "tlsverify": true,
  "tlscacert": "${CERT_DIR}/ca.pem",
  "tlscert": "${CERT_DIR}/server-cert.pem",
  "tlskey": "${CERT_DIR}/server-key.pem"
}

配置完成后重啟 Docker：
systemctl daemon-reload
systemctl restart docker

遠(yuǎn)程連接命令（客戶端）：
docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H ${DOCKER_HOST}:2376 info
EOF

DOCKER_HOST="192.168.1.100"   # 改成你的服務(wù)器公網(wǎng)IP

chmod +x docker_tls_gen.sh
./docker_tls_gen.sh

# 編輯 Docker 配置
vi /etc/docker/daemon.json

# 粘貼腳本輸出的配置
# 保存退出

# 重啟 Docker
systemctl daemon-reload
systemctl restart docker

docker --tlsverify --tlscacert=ca.pem --tlscert=cert.pem --tlskey=key.pem -H 你的服務(wù)器IP:2376 info