Docker通过MITM代理拉取镜像报missing signature key，禁用内容信任仍失效

云上老周

2026-6-12

Docker拉取镜像遇"missing signature key"问题的排查与解决

问题背景

CentOS虚拟机通过主机MITM代理（192.168.21.1:7890）联网，拉取公共镜像（如bladex/sentinel-dashboard）时报错：

$ docker pull bladex/sentinel-dashboard
Using default tag: latest
Error response from daemon: missing signature key

即使添加--disable-content-trust=true参数，错误依然存在，且已排查确认：

Docker守护进程代理配置正确（/etc/systemd/system/docker.service.d/http-proxy.conf已设置HTTP/HTTPS代理，docker info验证加载）
无内容信任强制策略（/etc/docker/daemon.json无"content-trust": true，systemd文件无Environment="DOCKER_CONTENT_TRUST=1"）
移除镜像源配置后问题依旧

可能有以下几个核心原因：

客户端环境变量优先级更高：如果当前用户环境变量中设置了DOCKER_CONTENT_TRUST=1，客户端会优先遵循这个全局配置，直接覆盖命令行参数。执行echo $DOCKER_CONTENT_TRUST即可检查，若输出1则执行unset DOCKER_CONTENT_TRUST取消强制。
MITM代理篡改Notary响应：代理在转发Docker与Notary服务器（notary.docker.io）的通信时，修改了响应内容，导致Docker守护进程误以为必须完成签名验证，无视客户端的禁用参数。
Docker版本bug：部分旧版本Docker存在命令行参数与守护进程配置冲突的问题，建议升级到最新稳定版再测试。
隐性全局配置：检查/etc/profile.d/下的Docker相关脚本，是否有偷偷设置内容信任全局变量的情况，这类配置会直接覆盖命令行参数。

这是因为代理的处理逻辑差异：

如果代理未被系统信任，会触发常见的x509: certificate signed by unknown authority错误，但你的场景中，主机VPN客户端的CA证书已导入虚拟机，TLS层面验证通过，不会抛出证书错误。
问题出在代理对Notary协议数据的篡改：Notary服务器返回的签名密钥数据经过代理时被截断、修改或替换，导致Docker无法解析到合法的签名密钥，进而抛出"missing signature key"错误，而非TLS层面的验证失败。

导入代理CA证书到Docker信任根：
将MITM代理的CA证书复制到Docker对应目录，让Docker信任代理证书，保证Notary通信的数据完整性：
```
mkdir -p /etc/docker/certs.d/notary.docker.io/
cp /path/to/mitm-ca.crt /etc/docker/certs.d/notary.docker.io/
systemctl restart docker
```
守护进程层面全局禁用内容信任：
在/etc/docker/daemon.json中添加配置，彻底关闭内容信任，无需每次命令行加参数：
```
{
  "content-trust": false
}
```
重启Docker后生效。
切换国内镜像源的Notary服务：
国内部分镜像加速器自带Notary服务，比如阿里云镜像，可以修改配置指向国内Notary地址，避免走MITM代理访问官方服务：
```
{
  "registry-mirrors": ["https://<你的阿里云镜像ID>.mirror.aliyuncs.com"],
  "notary": {
    "url": "https://notary.cn-hangzhou.aliyuncs.com"
  }
}
```
配置客户端全局禁用内容信任：
编辑用户目录下的~/.docker/config.json，添加默认禁用配置：
```
{
  "disable-content-trust": true
}
```
后续所有客户端操作都会默认跳过签名验证。

内容的提问来源于stack exchange，提问作者Nihilor