云计算核心技术Docker教程：Docker Swarm 模式在现有群上启用或禁用自动锁定

群管理器使用的 Raft 日志默认在磁盘上加密。这种静态加密可以保护您的服务的配置和数据免受访问加密 Raft 日志的攻击者的云计侵害。引入此功能的原因之一是为了支持Docker 机密功能。

当 Docker 重新启动时，用于加密 swarm 节点之间通信的 TLS 密钥和算核用于加密和解密磁盘上 Raft 日志的密钥都会加载到每个管理器节点的内存中。Docker 能够保护相互 TLS 加密密钥和用于加密和解心技密静态 Raft 日志的密钥，允许您拥有这些密钥的所有权并要求您的管理器手动解锁。此功能称为自动锁定。

当 Docker 重新启术D动时，您必须先 解锁 swarm，使用swarm 锁定时 Docker 生成的 密钥加密密钥。您可以随时轮换此密钥加密密钥。

在现有oc群上启用或禁用自动锁定

要在现有群上启用自动锁定，请将autolock标志设置为true。

$ docker swarm updakete --autolock=true

Swarm updated.

To unlock a swarm manager after it resr教tarts, run the `docker swarm unlock`

command and provide the following k程：ey:

SWMKEY-1-+MrE8NgAyKj5r3NcR4FiQMdgu+7W72urH0EZeSmP/0Y

Please rDoemember to store this key in a password manager, since without it you

wilckl not be able to restart the manager.

要禁用自动锁定，请设置--autolock为false。用于er读写 Raft 日志的双向 TLS 密钥和加密密钥未加密地存储在磁盘上。在存储未加密的加密密钥的风险与无需解锁每个管理器的情况下重新 S启动群的便利性之间存在权衡。

$ docker swarm update --autolock=false

禁用自动锁定后，将解锁密钥保wa留一小段时间，以防管理器在仍配置为使用旧密钥锁定的情况下宕机。