docker registry 令牌认证规范

雨点打透心脏的1/2处 2022-05-25 03:36 301阅读 0赞

**docker registry 的认证token流程图如下**

![docker01][]

流程解释：  
1. 尝试推/拉操作。  
2. 如果需要授权，它将返回401 Unauthorized HTTP响应，并提供有关如何进行身份验证的信息。  
3. 客户端向授权服务请求一个`Bearer token`。  
4. 授权服务返回代表客户授权访问`opaque Bearer token`。  
5. 客户端重新尝试原始请求，并在请求的授权标头`Bearer token`。  
6. docker registry 通过验证持证人token和嵌入在其中的声明集来授权客户端，并开始推送/拉取会话。

**如何授权**  
docker registry v2 当docker client去pull/push镜像的时候 如果docker registry服务器要求身份验证，则它将返回一个`401未经授权`的响应，并带有`WWW-Authenticate`标头，详细说明如何向此注册表进行身份验证

例如 有个`username`为`jlhawn`用户，想要push镜像到`samalba/my-app`这个镜像仓库，如果未授权，那么将会返回一下信息：

HTTP/1.1 401 Unauthorized
    Content-Type: application/json; charset=utf-8
    Docker-Distribution-Api-Version: registry/2.0
    Www-Authenticate: Bearer realm="https://auth.docker.io/token",service="registry.docker.io",scope="repository:samalba/my-app:pull,push"
    Date: Thu, 10 Sep 2015 19:32:31 GMT
    Content-Length: 235
    Strict-Transport-Security: max-age=31536000
    
    {"errors":[{"code":"UNAUTHORIZED","message":"access to the requested resource is not authorized","detail":[{"Type":"repository","Name":"samalba/my-app","Action":"pull"},{"Type":"repository","Name":"samalba/my-app","Action":"push"}]}]}

HTTP响应标头：

Www-Authenticate: Bearer realm="https://auth.docker.io/token",service="registry.docker.io",scope="repository:samalba/my-app:pull,push"

这表明要求  
发`GET`请求到 `https://auth.docker.io/token` using the `service` and `scope` values from the `WWW-Authenticate` header.

**获取 Token**  
入参:  
`service`:仓库地址，  
`offline_token`:是否与持票人令牌一起返回刷新令牌。 刷新令牌能够为不同范围的相同主体获得额外的`bearer token`。 刷新令牌没有到期并且应该被认为对客户完全不透明。  
`client_id`:客户端ID  
`scope`:权限范围，通过`WWW-Authenticate`取的`scope`的值，例如上面的例子:`scope=repository:samalba/my-app:push`

**返回参数**  
`token`:token的值  
`access_token`：token以及access\_token都可能出现，主要为了兼容低版本  
`expires_in`:token的生效时间,默认是60s  
`issued_at`:（可选）发布给定令牌的RFC3339序列化UTC标准时间。 如果issued\_at被省略，则过期是从令牌交换完成时开始的。  
`refresh_token`:（可选）可用于为具有不同范围的同一`scope`获取额外访问令牌的令牌。 该令牌应该由客户端保持安全，并且只发送给发布承载令牌的授权服务器。 该字段仅在请求中提供`offline_token = true`时设置生效。

例子

https://auth.docker.io/token?service=registry.docker.io&scope=repository:samalba/my-app:pull,push

在对客户端进行身份验证之后（如果没有尝试进行身份验证，它可能只是一个匿名客户端），令牌服务器必须接下来查询其访问控制列表以确定客户端是否具有所请求的范围。 在这个示例请求中，如果我已经以用户`jlhawn`进行身份验证，则令牌服务器将确定对实体`registry.docker.io`托管的存储库`samalba / my-app`的访问权限。

返回的信息

HTTP/1.1 200 OK
    Content-Type: application/json
    
    {"token": "eyJ0eXAiOiJKV1QiLCJhbGciOiJFUzI1NiIsImtpZCI6IlBZWU86VEVXVTpWN0pIOjI2SlY6QVFUWjpMSkMzOlNYVko6WEdIQTozNEYyOjJMQVE6WlJNSzpaN1E2In0.eyJpc3MiOiJhdXRoLmRvY2tlci5jb20iLCJzdWIiOiJqbGhhd24iLCJhdWQiOiJyZWdpc3RyeS5kb2NrZXIuY29tIiwiZXhwIjoxNDE1Mzg3MzE1LCJuYmYiOjE0MTUzODcwMTUsImlhdCI6MTQxNTM4NzAxNSwianRpIjoidFlKQ08xYzZjbnl5N2tBbjBjN3JLUGdiVjFIMWJGd3MiLCJhY2Nlc3MiOlt7InR5cGUiOiJyZXBvc2l0b3J5IiwibmFtZSI6InNhbWFsYmEvbXktYXBwIiwiYWN0aW9ucyI6WyJwdXNoIl19XX0.QhflHPfbd6eVF4lM9bwYpFZIV0PfikbyXuLx959ykRTBpe3CYnzs6YBK8FToVb5R47920PVLrh8zuLzdCr9t3w", "expires_in": 3600,"issued_at": "2009-11-10T23:00:00Z"}

使用Bearer token的例子

Authorization: Bearer eyJ0eXAiOiJKV1QiLCJhbGciOiJFUzI1NiIsImtpZCI6IkJWM0Q6MkFWWjpVQjVaOktJQVA6SU5QTDo1RU42Ok40SjQ6Nk1XTzpEUktFOkJWUUs6M0ZKTDpQT1RMIn0.eyJpc3MiOiJhdXRoLmRvY2tlci5jb20iLCJzdWIiOiJCQ0NZOk9VNlo6UUVKNTpXTjJDOjJBVkM6WTdZRDpBM0xZOjQ1VVc6NE9HRDpLQUxMOkNOSjU6NUlVTCIsImF1ZCI6InJlZ2lzdHJ5LmRvY2tlci5jb20iLCJleHAiOjE0MTUzODczMTUsIm5iZiI6MTQxNTM4NzAxNSwiaWF0IjoxNDE1Mzg3MDE1LCJqdGkiOiJ0WUpDTzFjNmNueXk3a0FuMGM3cktQZ2JWMUgxYkZ3cyIsInNjb3BlIjoiamxoYXduOnJlcG9zaXRvcnk6c2FtYWxiYS9teS1hcHA6cHVzaCxwdWxsIGpsaGF3bjpuYW1lc3BhY2U6c2FtYWxiYTpwdWxsIn0.Y3zZSwaZPqy4y9oRBVRImZyv3m_S9XDHF1tWwN7mL52C_IiA73SJkWVNsvNqpJIn5h7A2F8biv_S2ppQ1lgkbw

参考:  
[docker token][]

[docker01]: /images/20220525/82bdfffda94a4d2295076c8ec8558d5d.png
[docker token]: https://docs.docker.com/registry/spec/auth/token/