说明
如果你的服务器是公网IP，并且开放了docker的远程访问，如果没有进行保护是非常危险的，任何人都可以向你的docker中推送镜像、运行实例。我曾开放过阿里云服务器中docker的远程访问权限，在没有开启保护的状态下，几小时内就被植入了挖矿程序，导致CPU的占用率一直在100%，最终只能将服务器重置。
接下来我们介绍一下如何利用CA证书，安全的开启Docker的远程，通过TLS进行加密访问。
本文适用于部署在公网的服务器（包括云服务器），安全的开启docker远程访问。本文并不适用于局域网或虚拟机的加密。
详细步骤
下面我们介绍一个如何配置CA证书
1、先创建一个目录存放ca私钥和公钥
mkdir -p /usr/local/ca
2、进入此目录 准备生成密钥
cd /usr/local/ca
3、生成RSA私钥
运行下面命令时，会提示输入密码，输入两次一致即可。
openssl genrsa -aes256 -out ca-key.pem 4096
4、以上面生成的RSA密钥创建证书
运行此命令后，会提示输入国家、省、市、组织名称、单位、邮箱等资料。
国家只能是两位，例如：CN，其他的随便填写即可。
openssl req -new -x509 -days 3650 -key ca-key.pem -sha256 -out ca.pem
5、生服务端的RSA私钥
openssl genrsa -out server-key.pem 4096
6、生成服务端的证书签名
/CN=服务器IP 此处配置你的服务器IP，这里只能是公网IP或域名！
openssl req -subj "/CN=服务器IP" -sha256 -new -key server-key.pem -out server.csr
7、配置白名单
DNS: 此处配置你的服务器IP，这里只能是公网IP或域名！
IP: 此处配置允许访问的IP，可以配置多个，以逗号间隔即可。此处也同样是支支持公网IP。如果允许任何携带证书的人访问，直接修改为0.0.0.0即可
echo subjectAltName = DNS:服务器域名,IP:0.0.0.0 >> extfile.cnf
注意这里如果用服务器ip，则要将DNS改为IP，既：
echo subjectAltName = IP:服务器IP,IP:0.0.0.0 >> extfile.cnf
8、为extfile.cnf追加属性
此属性用于服务器身份验证
echo extendedKeyUsage = serverAuth >> extfile.cnf
9、生成签名过的客户端证书
期间会要求输入密码，输入和上面一致即可
openssl x509 -req -days 3650 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem \
-CAcreateserial -out server-cert.pem -extfile extfile.cnf
10、生成客户端的RSA私钥
openssl genrsa -out key.pem 4096
11、生成client.csr
openssl req -subj '/CN=client' -new -key key.pem -out client.csr
12、为extfile.cnf添加认证参数
echo extendedKeyUsage = clientAuth >> extfile.cnf
13、为extfile-client.cnf添加认证参数
echo extendedKeyUsage = clientAuth > extfile-client.cnf
14、生成签名证书
openssl x509 -req -days 3650 -sha256 -in client.csr -CA ca.pem -CAkey ca-key.pem \
-CAcreateserial -out cert.pem -extfile extfile-client.cnf
15、删除无用的配置文件
rm -v client.csr server.csr extfile.cnf extfile-client.cnf
16、将服务端证书放到docker的目录
cp server-*.pem /etc/docker/
17、将服务端证书放到docker的目录
cp ca.pem /etc/docker/
18、修改docker配置文件
vi /lib/systemd/system/docker.service
19、替换ExecStart属性
ExecStart=/usr/bin/dockerd \
--tlsverify --tlscacert=/usr/local/ca/ca.pem \
--tlscert=/usr/local/ca/server-cert.pem \
--tlskey=/usr/local/ca/server-key.pem \
-H tcp://0.0.0.0:2375 \
-H unix:///var/run/docker.sock
20、更新配置文件并重启docker
systemctl daemon-reload && systemctl restart docker
21、对docker端口2375放行 如果是云服务器 需要在其管理页面中对应开启端口访问
firewall-cmd --zone=public --add-port=2375/tcp
22、测试
访问https://ip:2375/version，如果提示需要证书即标识配置成功
23、使用IDEA连接
将ca-key.pem、ca.pem、cert.pem、key.pem四个文件拷贝到要访问docker的客户端。
在IDEA中，将Engine API URL中的TCP协议修改为https
在IDEA的Certificates folder中配置拷贝了四个文件的目录 点击apply，出现Connection successful即为成功！
