AI 集群 技术知识库

Appearance

麒麟 V11 系统部署沐曦私有 Harbor 证书配置文档 ​

一、适用场景 ​

访问沐曦内部私有 Harbor 仓库 qa-harbor-gz.sha-dc01.metax-tech.com，Docker 拉镜像报 tls: x509: certificate signed by unknown authority 证书不信任报错，安装沐曦根证书解决。

二、操作步骤 ​

1. 下载沐曦根证书 ​

bash
wget http://repo.metax-tech.com/_/cert/metax-root-cacerts.crt

2. 系统全局导入可信 CA 证书（麒麟 RHEL 系） ​

bash
# 移入系统证书锚点目录
cp metax-root-cacerts.crt /etc/pki/ca-trust/source/anchors/
# 更新系统证书信任库
update-ca-trust extract

备注：update-ca-certificates为 Debian/Ubuntu 专用命令，麒麟 V10 不使用该命令。

3. Docker 单独配置私有仓库证书（Docker 独立证书目录规则） ​

Docker 不会自动读取系统 CA，需单独配置域名证书：

bash
# 创建对应域名证书目录
mkdir -p /etc/docker/certs.d/qa-harbor-gz.sha-dc01.metax-tech.com
# 证书重命名为ca.crt放入目录
cp metax-root-cacerts.crt /etc/docker/certs.d/qa-harbor-gz.sha-dc01.metax-tech.com/ca.crt

4. 重启 Docker 服务生效 ​

bash
systemctl restart docker

5. 验证镜像拉取 ​

bash
docker pull qa-harbor-gz.sha-dc01.metax-tech.com/ai-master/maca/megatron-lm@sha256:9bf2d3db2c01560a012ba773535b01b8576cb7427e9c86fe26aef4652db53435

三、关键注意事项 ​

  1. 私有 Harbor 证书目录固定格式：/etc/docker/certs.d/仓库域名/ca.crt，域名写错证书不生效；
  2. 系统证书与 Docker 证书两套配置缺一不可；
  3. 系统为 Debian/Ubuntu 才使用update-ca-certificates，银河麒麟 V10 RPM 架构统一使用update-ca-trust extract。