创建自签名的证书
既然是在局域网中使用，因此不会大动干戈的去购买 https 证书，自己生成一个自签名的就足够了。但这也存在一个缺点，就是需要在作为客户端的 docker daemon 中安装这个根证书，本文的稍后部分会介绍这一步骤。
在 ubuntu 系统中，下面的命令会在 dcerts 目录下生成秘钥和自签名的证书：
openssl req
-newkey rsa:4096 -nodes -sha256
-keyout dcerts/domain.key
-x509 -days 356
-out dcerts/domain.crt注意，在执行此命令前需要在当前目录下创建 dcerts 目录。此命令的细节本文就不解释了，有兴趣的同学去查 openssl 命令的帮助文档。
生成证书时，openssl 要求我们输入相关的信息。比如地域和公司、部门的信息。比较重要的是 Common Name，如果你是要为某个域名生成证书，那么这里就应该是你的域名。我们使用的是 IP 地址，所以我就想当然的把 IP 地址放在了这里。很遗憾的是这并不正确！如果拿此时生成的证书去配置 Docker Registry，我们将无法完成 pull/push 操作。配置的 Registry 根本无法在局域网中使用。
此处是一个很隐晦的 openssl 配置问题，当我们使用 IP 地址作为访问服务器的名称时就会碰到。解决的方法也很简单，就是在生成证书的配置文件中指定 subjectAltName 。打开文件 /etc/ssl/openssl.cnf，在 [v3_ca] 节点添加配置项：
subjectAltName = IP:10.32.2.140
保存并退出，然后重新执行上面生成证书的命令。
运行 https 版的 Registry
有了前面创建的证书，我们就可以运行新版的 Registry 了：
$ docker run -d -p 5000:5000
--restart=always
--name registry
-v `pwd`/dstorage:/var/lib/registry
-v `pwd`/dcerts:/certs
-e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt
-e REGISTRY_HTTP_TLS_KEY=/certs/domain.key
registry:2命令中我们把证书所在的目挂载到了容器的 /certs 目录。然后分别指定了容器的环境变量
REGISTRY_HTTP_TLS_CERTIFICATE 和 REGISTRY_HTTP_TLS_KEY，这两个环境变量会引用我们常见的秘钥文件和证书文件。好了，到目前为止新版的 Docker Registry 已经可以提供服务了。
在 client 端设置根证书
为了快速、方便和省钱，我们没有去购买商业版的证书。这种方式的弊端是：必须把我们生成的根证书安装到每一个需要访问 Registry 服务器的客户端上。具体做法如下：
把前面生成的证书文件 dcerts/domain.crt 复制到需要访问 Registry 服务器的机器上。放到目录 /etc/docker/certs.d/10.32.2.140:5000/ 中，并重命名为 ca.crt。当然这个目录需要你自己创建。最后重新启动 docker 服务：
