強制 Docker Desktop 登入的方式

此頁面概述了強制 Docker Desktop 登入的不同方法。

登錄機碼方法（僅限 Windows）

注意

登錄機碼方法適用於 Docker Desktop 4.32 版及更高版本。

若要強制在 Windows 上的 Docker Desktop 登入，您可以設定一個登錄機碼來指定您組織允許的使用者。以下步驟將引導您建立和部署登錄機碼以強制執行此策略

1. 建立登錄機碼。您的新機碼應如下所示

   $ HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Docker\Docker Desktop
   

2. 建立多字串值 `allowedOrgs`。

   重要

   從 Docker Desktop 4.36 版及更高版本開始，您可以新增多個組織。使用 Docker Desktop 4.35 版及更早版本時，如果您新增多個組織，強制登入將會靜默失敗。

3. 使用您組織的名稱，全部小寫作為字串資料。

4. 重新啟動 Docker Desktop。

5. Docker Desktop 重新啟動後，確認出現「需要登入！」提示。

在某些情況下，可能需要重新啟動系統才能使強制執行生效。

注意

如果同時存在登錄機碼和 `registry.json` 檔案，則登錄機碼優先。

透過群組原則部署範例

以下範例說明如何使用群組原則部署登錄機碼以強制在 Docker Desktop 上登入。根據您組織的基礎架構、安全策略和管理工具，有多種方法可以部署此設定。

1. 建立登錄腳本。撰寫一個腳本來建立 `HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Docker\Docker Desktop` 機碼，新增 `allowedOrgs` 多字串，然後將值設定為您組織的名稱。
2. 在群組原則中，建立或編輯適用於您要鎖定之電腦或使用者的群組原則物件 (GPO)。
3. 在 GPO 中，瀏覽至「電腦設定」，然後選取「偏好設定」。
4. 選取「Windows 設定」，然後選取「登錄」。
5. 若要新增登錄項目，請在「登錄」節點上按一下滑鼠右鍵，選取「新增」，然後選取「登錄項目」。
6. 將新的登錄項目設定為與您建立的登錄腳本相符，將動作指定為「更新」。請確保您輸入正確的路徑、值名稱 (`allowedOrgs`) 和值資料（您的組織名稱）。
7. 將 GPO 連結到包含您要套用此設定之電腦的組織單位 (OU)。
8. 先在一小部分電腦上測試 GPO，以確保其行為符合預期。您可以在測試機上使用 `gpupdate /force` 命令手動更新其群組原則設定，並檢查登錄以確認變更。
9. 確認後，您可以繼續進行更廣泛的部署。監控部署，以確保在組織的電腦上正確套用設定。

設定檔方法（僅限 Mac）

注意

設定檔方法處於早期存取階段，適用於 Docker Desktop 4.36 版及更高版本。

設定檔是 macOS 的一項功能，可讓您將設定資訊發佈到您管理的 Mac。這是 macOS 上強制登入最安全的方法，因為已安裝的設定檔受到 Apple 系統完整性保護 (SIP) 的保護，因此使用者無法竄改。

1. 使用副檔名 `.mobileconfig` 儲存以下 XML 檔案，例如 `docker.mobileconfig`

    <?xml version="1.0" encoding="UTF-8"?>
    <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
    <plist version="1.0">
      <dict>
        <key>PayloadContent</key>
        <array>
          <dict>
            <key>PayloadType</key>
            <string>com.docker.config</string>
            <key>PayloadVersion</key>
            <integer>1</integer>
            <key>PayloadIdentifier</key>
            <string>com.docker.config</string>
            <key>PayloadUUID</key>
            <string>eed295b0-a650-40b0-9dda-90efb12be3c7</string>
            <key>PayloadDisplayName</key>
            <string>Docker Desktop Configuration</string>
            <key>PayloadDescription</key>
            <string>Configuration profile to manage Docker Desktop settings.</string>
            <key>PayloadOrganization</key>
            <string>Your Company Name</string>
            <key>allowedOrgs</key>
            <string>first_org;second_org</string>
          </dict>
        </array>
        <key>PayloadType</key>
        <string>Configuration</string>
        <key>PayloadVersion</key>
        <integer>1</integer>
        <key>PayloadIdentifier</key>
        <string>com.yourcompany.docker.config</string>
        <key>PayloadUUID</key>
        <string>0deedb64-7dc9-46e5-b6bf-69d64a9561ce</string>
        <key>PayloadDisplayName</key>
        <string>Docker Desktop Config Profile</string>
        <key>PayloadDescription</key>
        <string>Config profile to enforce Docker Desktop settings for allowed organizations.</string>
        <key>PayloadOrganization</key>
        <string>Your Company Name</string>
      </dict>
    </plist>

2. 將佔位符 `com.yourcompany.docker.config` 和 `Your Company Name` 更改為您公司的名稱。

3. 新增您的組織名稱。允許的組織名稱儲存在 `allowedOrgs` 屬性中。它可以包含單一組織的名稱或以分號分隔的組織名稱清單

            <key>allowedOrgs</key>
            <string>first_org;second_org</string>

4. 使用 MDM 解決方案將您修改過的 `.mobileconfig` 檔案發佈到您的 macOS 用戶端。

plist 方法（僅限 Mac）

注意

`plist` 方法適用於 Docker Desktop 4.32 版及更高版本。

若要強制在 macOS 上的 Docker Desktop 登入，您可以使用定義所需設定的 `plist` 檔案。以下步驟將引導您完成建立和部署必要的 `plist` 檔案以強制執行此策略的過程

1. 建立檔案 `/Library/Application Support/com.docker.docker/desktop.plist`。

2. 在文字編輯器中開啟 `desktop.plist` 並新增以下內容，其中 `myorg` 將替換為您組織的名稱，全部小寫

   <?xml version="1.0" encoding="UTF-8"?>
   <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
   <plist version="1.0">
     <dict>
         <key>allowedOrgs</key>
         <array>
             <string>myorg1</string>
             <string>myorg2</string>
         </array>
     </dict>
   </plist>

   重要

   從 Docker Desktop 4.36 版及更高版本開始，您可以新增多個組織。使用 Docker Desktop 4.35 版及更早版本時，如果您新增多個組織，強制登入將會靜默失敗。

3. 修改檔案權限，確保非管理員使用者無法編輯該檔案。

4. 重新啟動 Docker Desktop。

5. Docker Desktop 重新啟動後，確認出現「需要登入！」提示。

注意

如果同時存在 plist 和 registry.json 檔案，則 plist 檔案優先。

部署範例

以下範例說明如何建立和散佈 plist 檔案以強制在 Docker Desktop 上登入。根據您組織的基礎架構、安全策略和管理工具，有多種方法可以部署此設定。

registry.json 方法（所有平台）

以下說明說明如何建立和部署 registry.json 檔案到單一裝置。部署 registry.json 檔案的方法有很多種。您可以參考 .plist 檔案章節中概述的範例部署。您選擇的方法取決於您組織的基礎架構、安全策略和終端使用者的管理權限。

選項 1：建立 registry.json 檔案以強制登入

1. 確保使用者是 Docker 中您組織的成員。如需詳細資訊，請參閱管理成員。

2. 建立 registry.json 檔案。

   根據使用者的作業系統，在以下位置建立名為 registry.json 的檔案，並確保使用者無法編輯該檔案。

   平台	位置
   Windows	/ProgramData/DockerDesktop/registry.json
   Mac	/Library/Application Support/com.docker.docker/registry.json
   Linux	/usr/share/docker-desktop/registry/registry.json

3. 在 registry.json 檔案中指定您的組織。

   在文字編輯器中開啟 registry.json 檔案，並新增以下內容，其中 myorg 替換為您組織的名稱。檔案內容區分大小寫，您必須使用小寫字母表示您組織的名稱。

   {
   "allowedOrgs": ["myorg1", "myorg2"]
   }

   重要

   從 Docker Desktop 4.36 版及更高版本開始，您可以新增多個組織。使用 Docker Desktop 4.35 版及更早版本時，如果您新增多個組織，強制登入將會靜默失敗。

4. 驗證是否已強制執行登入。

   要啟用 registry.json 檔案，請在使用者的電腦上重新啟動 Docker Desktop。當 Docker Desktop 啟動時，請確認出現需要登入！提示。

   在某些情況下，可能需要重新啟動系統才能使強制執行生效。

   提示

   如果您的使用者在您強制執行登入後啟動 Docker Desktop 時遇到問題，他們可能需要更新到最新版本。

選項 2：安裝 Docker Desktop 時建立 registry.json 檔案

要在安裝 Docker Desktop 時建立 registry.json 檔案，請根據使用者的作業系統使用以下說明。

PS> Start-Process '.\Docker Desktop Installer.exe' -Wait 'install --allowed-org=myorg'

C:\Users\Admin> "Docker Desktop Installer.exe" install --allowed-org=myorg

$ sudo hdiutil attach Docker.dmg
$ sudo /Volumes/Docker/Docker.app/Contents/MacOS/install --allowed-org=myorg
$ sudo hdiutil detach /Volumes/Docker

選項 3：使用命令列建立 registry.json 檔案

要使用命令列建立 registry.json 檔案，請根據使用者的作業系統使用以下說明。

PS>  Set-Content /ProgramData/DockerDesktop/registry.json '{"allowedOrgs":["myorg"]}'

PS C:\ProgramData\DockerDesktop> Get-Acl .\registry.json


    Directory: C:\ProgramData\DockerDesktop


Path          Owner                  Access
----          -----                  ------
registry.json BUILTIN\Administrators NT AUTHORITY\SYSTEM Allow  FullControl...

$ sudo mkdir -p "/Library/Application Support/com.docker.docker"
$ echo '{"allowedOrgs":["myorg"]}' | sudo tee "/Library/Application Support/com.docker.docker/registry.json"

$ sudo cat "/Library/Application Support/com.docker.docker/registry.json"
{"allowedOrgs":["myorg"]}

$ sudo ls -l "/Library/Application Support/com.docker.docker/registry.json"
-rw-r--r--  1 root  admin  26 Jul 27 22:01 /Library/Application Support/com.docker.docker/registry.json

$ sudo mkdir -p /usr/share/docker-desktop/registry
$ echo '{"allowedOrgs":["myorg"]}' | sudo tee /usr/share/docker-desktop/registry/registry.json

$ sudo cat /usr/share/docker-desktop/registry/registry.json
{"allowedOrgs":["myorg"]}

$ sudo ls -l /usr/share/docker-desktop/registry/registry.json
-rw-r--r--  1 root  root  26 Jul 27 22:01 /usr/share/docker-desktop/registry/registry.json

更多資源

• 影片：使用 registry.json 強制登入