之前有試了兩三次，但都卡在憑證部份，昨天終於搞定了。
主要參考文件是 https://github.com/sameersbn/docker-gitlab/blob/master/docs/container_registry.md
第一步是產生憑證，不要用上面文章提供的 openssl 指令，用 https://gitlab.com/gitlab-org/gitlab-ce/issues/25967 所提供的：
# 假定是在 docker-compose.yml 所在的目錄下
mkdir -p certs
cd certs
openssl req -nodes -newkey rsa:4096 -keyout registry-auth.key -out registry-auth.csr -subj "/CN=gitlab-issuer"
openssl x509 -in registry-auth.csr -out registry-auth.crt -req -signkey registry-auth.key -days 3650
第二步是修改、調整原有的 docker-compose.yml
# gitlab
gitlab:
environments:
# ... other environment variables
# ...
# Registry
- GITLAB_REGISTRY_ENABLED=true
- GITLAB_REGISTRY_HOST=registry.example.com
- GITLAB_REGISTRY_PORT=443
- GITLAB_REGISTRY_API_URL=http://registry:5000
- GITLAB_REGISTRY_KEY_PATH=/certs/registry-auth.key
- SSL_REGISTRY_KEY_PATH=/certs/registry-auth.key
- SSL_REGISTRY_CERT_PATH=/certs/registry-auth.crt
volumes:
# ... other volumes
# ...
# 將前面建立的 certs 資料夾掛載到 /certs
- ./certs:/certs
links:
# ... other service links
# ...
- registry
registry:
image: registry:2.4.1
expose:
- "5000"
ports:
- "5000:5000"
volumes:
- /var/gitlab/shared/registry:/registry
- ./certs:/certs
environment:
- REGISTRY_LOG_LEVEL=info
- REGISTRY_STORAGE_FILESYSTEM_ROOTDIRECTORY=/registry
- REGISTRY_AUTH_TOKEN_REALM=https://git.example.com/jwt/auth
# 如果你用的 gitlab 設定為 relative url root，那就是
# - REGISTRY_AUTH_TOKEN_REALM=https://example.com/git/jwt/auth
- REGISTRY_AUTH_TOKEN_SERVICE=container_registry
- REGISTRY_AUTH_TOKEN_ISSUER=gitlab-issuer
- REGISTRY_AUTH_TOKEN_ROOTCERTBUNDLE=/certs/registry-auth.crt
- REGISTRY_STORAGE_DELETE_ENABLED=true
第三步是改 Apache 或 Nginx 的設定，Nginx 的設定可以參考 https://github.com/sameersbn/docker-gitlab/blob/master/docs/container_registry.md
我用的是 Apache ，所以我是參考 https://gist.github.com/dkarlovi/5f6ab416aa882086c7305b004b590dd4 來做修改，改完記得重新啟動 Apache 或 Nginx。
修改完以後，執行 docker-compose up ，應該就沒問題了。
我遇過以下問題：
- 瀏覽 https://git.example.com/group1/project1/container_registry 時，出現 Internal server error：主要是 gitlab 環境變數裡的 GITLAB_REGISTRY_KEY_PATH、SSL_REGISTRY_KEY_PATH、SSL_REGISTRY_CERT_PATH 跟 registry 環境變數裡的 REGISTRY_AUTH_TOKEN_ROOTCERTBUNDLE 沒有設定好，當然其他的也有可能，儘可能都檢查一次。
- docker login 失敗：其實也是上面提的那幾個環境變數沒設定好。
檢討之前為什麼沒能架設好，原因如下：
- 對 SSL 憑證不了解：我的 git.example.com / registry.example.com 都使用 SSL 憑證，但又跟 registry-auth 的憑證搞混，總的來說，總共三個憑證，git.example.com 一個，registry.example.com 一個，registry-auth 一個。gitlab.example.com/registry.example.com 的憑證是給網頁伺服器(Apache/Nginx)使用，Apache/Nginx 設定裡要設定，然後 docker-compose.yml gitlab 服務裡只用到 gitlab.example.com 的憑證，要用 SSL_KEY_PATH, SSL_CERTIFICATE_PATH 跟 SSL_DHPARAM_PATH 這三個環境變數來設定。而 registry-auth 則是 gitlab 服務與 registry 服務作 token 認証用的，主要是 gitlab 環境變數裡的 GITLAB_REGISTRY_KEY_PATH、SSL_REGISTRY_KEY_PATH、SSL_REGISTRY_CERT_PATH 跟 registry 環境變數裡的 REGISTRY_AUTH_TOKEN_ROOTCERTBUNDLE。
- Apache 的 SSL 設定錯誤：SSLCertificateFile, SSLCertificateKeyFile, SSLCertificateChainFile 跟 SSLCACertificateFile 都要設定，我少設了 SSLCertificateChainFile，導致 registry 服務去問 gitlab 時，有憑證錯而有 HTTP request fail 的問題。