Docker内置的群模式公钥基础结构（PKI）系统使安全部署容器编排系统变得简单。群集中的节点使用相互传输层安全性（TLS）来验证，授权和加密与群集中云计其他节点的通信。

通过运行创建docker swarm init集群时，Docker会将其自身指定为管理器节点。默认情况下，管理器节点会生成一个新的根证书颁发机构（C算核A）以及一个密钥对，用于保护与加入群集的其他节点之间的通信安全。如果愿意，可以使用docker swarm init命令的--external-ca标志 来指定自己心技的外部生成的根CA。

当您将其他节点加入集群时，manager节点还会生成两个令牌供使用：一个worker令牌和一个manager令牌。每个令牌都包括根CA证书术D的摘要和随机生成的秘密。当节点加入群集时，加入的节点使用摘要来验证来自远程管理器的根CA证书。远程管理器使用该秘密来确保加入节点是批准的节点。

每次有新oc节点加入群集时，管理器都会向该节点颁发证书。证书包含一个随机生成的节点ID，以标识证书公用名（CN）下的节点和组织单位（OU）下的角色。节点ID在当前群集ke中的节点生命周期中用作加密安全的节点标识。

下图说明了管理器节点和工作器节点如何使用最小的TLS 1.2加密通信。

默认情况下，群集中的每个节点每三个月更新r教一次其证书。您可以通过运行docker swarm update --cert-expiry命令来配置此间隔。最小旋转值为1小时。

旋转CA证书

如果群集CA密钥或管程：理器节点受到破坏，则可以旋转群集根CA，以便所有节点不再信任由旧根CA签名的证书。

运行docker swarm ca --rotate以生成新的CA证书和密钥。如果愿Do意，可以传递--ca-cert和--external-ca标志以指定根证书，并使用群集外部的根CA。或者，您可以传递--ca-cert和--ca-key标志ck来指定您希望群使用的确切证书和密钥。

发出docker swarm ca --rotate命令时，会依次发生以下情况：

1.Docker生成交叉签名证书。这意味着将er使用旧的根CA证书对新的根CA证书的版本进行签名。此交叉签名的证书用作所有新节点证书的中间证书。这样可以确保仍然信任旧根CA的节点仍可以验证由新CA签名的使用证书。

2.Docker还告诉所有节点立即更新其TLS证书。此过程可能需要几分钟，具体取决于群集中节点的数量。

3.在群集中的每个节点都具有由新CA签名的新TL公钥S证书之后，Docker会忘记旧的CA证书和密钥材料，并告诉所有节点仅信任新的CA证书。

这也会导致群集的连接令牌发生变化。先前的连接令牌不再有效。

从那时起，所有基础颁发的所有新节点证书都将使用新的根CA签名，并且不包含任何中间件。

• ·标签: RoboScience VLOA大模型 田野 邵林
• ·SAS中国刘政：国内数据软件潜力巨大 SAS将加速“上云”
• ·标签: 摩尔线程 MTTS5000 全功能GPU AI芯片
• ·标签: 李佳琦 奔驰GLC 奔驰C级 梅赛德斯-奔驰
• ·智元机器人联合创始人:GPT-6后将迎来初级AGI，AI正迈向“物理智能”时代
• ·标签: 蔚来 李斌 ROI 精细化运营
• ·云计算核心技术Docker教程：Docker 守护进程dockerd配置重载行为
• ·腾讯云智能战略全新升级 以“四级加速”助力政企开启数智化转型新思路
• ·标签: IBM 裁员 AI 克里希纳
• ·云计算核心技术Docker教程：为 Python 创建一个 Dockerfile
• ·标签: 海康威视 萤石网络 海康机器人 海康存储
• ·标签: 誉研堂 中医医疗 港交所上市 招银国际
• ·lol三叔是什么梗
• ·标签: 神州半导体 IPO 半导体设备 大基金二期
• ·九大数据分析方法：矩阵分析法
• ·洗衣机是什么梗