Docker が自己署名 CA 証明書を信頼するようにする

Fri, 23 Oct 2026 00:00:00 +0000

Docker がプライベート CA（例：step-ca）で発行した HTTPS 証明書を使用する場合、Docker Engine によるイメージの pull と コンテナ内のアプリケーションによる HTTPS アクセス の 2 つの状況を区別する必要があります。両者の証明書信頼ストアが同じとは限りません。

一、Docker Engine でプライベート CA を信頼する

docker login、docker pull、docker push でプライベートレジストリにアクセスする場合に適用されます。

指定した Registry のみを信頼する（推奨）

Registry のアドレスが registry.example.com:5000 であるとします。

sudo mkdir -p /etc/docker/certs.d/registry.example.com:5000
sudo cp root_ca.crt /etc/docker/certs.d/registry.example.com:5000/ca.crt

ディレクトリ名は、実際にアクセスする Registry のホスト名とポートに一致させる必要があります。デフォルトの HTTPS 443 ポートは通常省略できます。ca.crt は PEM 形式の CA 証明書にし、私鍵にしないでください。

確認：

docker login registry.example.com:5000

Ubuntu / Debian ホスト全体で信頼する

sudo cp root_ca.crt /usr/local/share/ca-certificates/my-root-ca.crt
sudo update-ca-certificates

Linux 上では、Docker は通常ホストのシステム CA 信頼ストアを使用します。通常 Docker を再起動する必要はありません。それでも有効にならない場合は、Docker のログと証明書設定を確認してから、再起動するかどうかを決めてください（再起動すると実行中のコンテナに影響する可能性があります）。

Docker on CX's Blog

Docker が自己署名 CA 証明書を信頼するようにする

一、Docker Engine でプライベート CA を信頼する

指定した Registry のみを信頼する（推奨）

Ubuntu / Debian ホスト全体で信頼する