如何在 Docker 容器中使用 GnuPG，因为它缺少熵？答案

【问题标题】：How to use GnuPG inside Docker containers, as it is missing entropy?如何在 Docker 容器中使用 GnuPG，因为它缺少熵？
【发布时间】：2015-06-01 12:47:07
【问题描述】：

我需要 dockerize 一个 apt 存储库。其中的包需要签名，目前由 aptly publish snapshot -distribution="stable" -gpg-key="<key id>" my-snapshot

在此之前需要使用gpg --gen-key 创建密钥。

但是这样一来，私钥将被装箱在 docker 镜像中，这似乎不是一个好习惯。此外， id 甚至不起作用；运行gpg --gen-key --batch <gpg.in 卡住了：

Not enough random bytes available.  Please do some other work to give
the OS a chance to collect more entropy! (Need 284 more bytes)

我什至不知道是否可以在 docker 容器中生成 gpg 密钥，即使可以，也可能不是一个好主意。

有没有办法通过外部密钥对 repo 的内容进行签名？

【问题讨论】：

标签： docker gnupg entropy openpgp

【解决方案1】：

缺少熵

Docker 确实不提供虚拟的/dev/[u]random 设备。如果容器中没有足够的熵，那么主机上的熵也不够。

检查/proc/sys/kernel/random/entropy_avail的内容，在Docker主机和容器上应该是差不多的（如果数字略有不同，只是变化非常频繁，否则多检查几次）。

可能的原因：

在虚拟机中运行docker主机，比如因为boot2docker或者自建虚拟机。只需确保在您的虚拟机中获得更多熵，havegd 对于开发人员机器来说是一个非常简单的解决方案，但可能不适合生产环境。
另一个容器/应用程序正在耗尽所有熵。意识到哪一个并中断/终止它，或者产生更多的熵。
您通常没有足够的熵。做一些工作（鼠标/键盘移动，（硬盘）磁盘 I/O）。

外部生成密钥对

无论如何，在真机上生成一个密钥，并且只将一个（私有）子密钥移动到服务器可能更合理。这样，您可以不时地交换子密钥（以防它被泄露）。阅读What is a good general purpose GnuPG key setup?，了解设置 OpenPGP 密钥时需要考虑的不同事项。

在构建 Docker 镜像时，使用COPY 将文件导入机器，然后在 Dockerfile 中使用gpg --import。之后，它的可用方式与使用 gpg --gen-key 在容器内生成它的方式完全相同。

【讨论】：

我导入了host上生成的key，用它唱repo，唱repo后删除了.gnupg目录。
删除时，请注意不同的层，私钥可能实际上不会被删除，而只是被隐藏了。

【解决方案2】：

我在连接到正在生成gpg 密钥的 docker 容器时 ping 一些网站，从而大大加快了熵的生成。

$ docker exec -it blimp_mailpilekermit_1 bash
mailpile@mailpile-kermit:~$ ping google.com &
mailpile@mailpile-kermit:~$ ping cloudfleet.io &
mailpile@mailpile-kermit:~$ cat /proc/sys/kernel/random/entropy_avail
757

这让gpg 进程相对较快地完成生成 2048 位密钥。

【讨论】：

【解决方案3】：

在docker build 之外生成密钥，在与Dockerfile 相同的目录树内。然后你可以ADD 获取图像的密钥，aptly 可以使用它。请记住，此映像现在包含一个私有 GPG 密钥，因此它需要像您对该密钥一样保密。

如果您想在正在运行的容器中使用密钥（而不是在构建映像时），请使用-v 标志将密钥文件挂载到映像中。（这允许您在不发布私钥的情况下发布图像。

【讨论】：

【解决方案4】：

对外部接口（从另一台主机）进行泛洪 ping 操作也会将熵添加到池中。

例如。 ping -f $EXTERNALIP

需要是 root，最好不要在您关心的网络上执行此操作。

【讨论】：