如何在基于Nano Server 1709的Docker容器镜像中安装证书？

方案1：无需额外工具/多阶段构建的原生方法 #

其实Nano Server 1709自带了certutil.exe工具，它完全可以用来安装.cer格式的证书，你可能之前没留意到。具体操作步骤如下：

• 将你的.cer证书文件复制到Nano Server容器内的某个路径（比如C:\temp\）
• 执行以下命令导入证书到本地计算机根证书存储（如果要导入到个人存储，把Root换成My即可）：

  certutil -addstore -f "Root" C:\temp\your-cert.cer
  

  参数说明：
  • -addstore 指定要操作的证书存储
  • -f 强制覆盖已存在的同名证书（可选，根据你的需求决定是否添加）
  • "Root" 目标证书存储名称，常见的还有My（个人证书）、CA（中间证书颁发机构）

这个方法不需要安装PowerShell，完全依赖Nano Server原生自带的工具，操作起来最直接。

方案2：多阶段构建安装PowerShell的方法 #

如果你确实需要用PowerShell来管理证书，可以通过多阶段构建从windowsservercore镜像中获取PowerShell组件，再复制到Nano Server镜像里。以下是完整的Dockerfile示例：

# 第一阶段：从ServerCore 1709镜像中安装PowerShell
FROM mcr.microsoft.com/windows/servercore:1709 as ps-builder
# 在ServerCore中安装PowerShell功能
RUN powershell -Command "Install-WindowsFeature -Name PowerShell -IncludeManagementTools"

# 第二阶段：基于Nano Server 1709构建最终镜像
FROM mcr.microsoft.com/windows/nanoserver:1709
# 从构建阶段复制PowerShell的核心文件到Nano Server
COPY --from=ps-builder ["C:\\Windows\\System32\\WindowsPowerShell", "C:\\Windows\\System32\\WindowsPowerShell"]
# 复制你的.cer证书文件到镜像内
COPY your-cert.cer C:\cert\your-cert.cer
# 使用PowerShell导入证书到指定存储
RUN powershell -Command "Import-Certificate -FilePath 'C:\cert\your-cert.cer' -CertStoreLocation 'Cert:\LocalMachine\Root'"

步骤说明： #

1. 第一阶段使用servercore:1709作为基础，因为它支持安装PowerShell组件
2. 安装完成后，将PowerShell的整个目录复制到Nano Server镜像中
3. 最后复制证书文件并执行PowerShell的Import-Certificate命令完成安装

这样构建出来的Nano Server镜像就自带了PowerShell，后续也可以用它来做更多证书管理操作。

内容的提问来源于stack exchange，提问作者Robert Brown