Dockerコンテナ内でGCPの証明書エラーと戦ってみた - Qiitaという記事を以前書きました。
この記事ではホスト(Mac OSX)の証明書をコンテナにコピーすることで、コンテナの証明書エラーを解消していました。
この時の手順では、Macにインストールされた証明書をGUI操作でエクスポートしていたのですが、この辺のエラーは割とよく起こるので、もうちょっと手軽に使いたい！
ということでコマンド一発でできないのか調べてみました。

結論

インストールされている全ての証明書をエクスポートする場合

$ security find-certificate -p -a > cert.pem

証明書の名前を指定する場合

$ security find-certificate -p -c CertName > cert.pem

securityコマンド

キーチェーンアクセスと同じ情報を見えるコマンドがないか調べたところ、以下の質問が見つかりました。

macos - OSX: Export system certificates from keychain in PEM format programmatically - Stack Overflow

今やりたいことにマッチするのは

$ security find-certificate -a -p /System/Library/Keychains/SystemCACertificates.keychain > allcerts.pem

か

$ security find-certificate -a -p >certs.pem

ですかね

このコマンドで生成されたpemファイルの中身を見ると以下のようになってました。このファイルをコンテナに持っていけば良さそうですね。
解決しました

$ security find-certificate -a -p -c "Apple World"
-----BEGIN CERTIFICATE-----
************************
************************
-----END CERTIFICATE-----
-----BEGIN CERTIFICATE-----
************************
************************
-----END CERTIFICATE-----

ちなみに、この２つの違いは全ての証明書を指定するか、システムの証明書のみか、という違いです。

以下のコマンドでキーチェーンの一覧が表示されるので、ここから指定すれば良いみたいです。

$ security list-keychains
    "/Users/${username}/Library/Keychains/login.keychain-db"
    "/Library/Keychains/System.keychain"

securityコマンドの使い方

一応コマンドの使い方も確認しておこう、ということでman securityで確認してみました。
この中で今回使うのは以下３つですかね

-a
- 全証明書を一括でエクスポートしたい場合はつける。これをつけない場合は先頭１つのみエクスポートされる
-p
- pem形式でエクスポートする。今回は必須
-c
- 名前で絞り込みする。任意

     find-certificate [-h] [-a] [-c name] [-e emailAddress] [-m] [-p] [-Z] [keychain...]
            Find a certificate item.  If no keychain arguments are provided, the default search list is used.

            Options:
            -a              Find all matching certificates, not just the first one
            -c name         Match on name when searching (optional)
            -e emailAddress
                            Match on emailAddress when searching (optional)
            -m              Show the email addresses in the certificate
            -p              Output certificate in pem format.  Default is to dump the attributes and keychain the cert is in.
            -Z              Print SHA-1 hash of the certificate

            Examples

            security> find-certificate -a -p > allcerts.pem
                     Exports all certificates from all keychains into a pem file called allcerts.pem.

            security> find-certificate -a -e me@foo.com -p > certs.pem
                     Exports all certificates from all keychains with the email address me@foo.com into a pem file called certs.pem.

            security> find-certificate -a -c MyName -Z login.keychain | grep ^SHA-1
                     Print the SHA-1 hash of every certificate in 'login.keychain' whose common name includes 'MyName'

`-c`オプション

-cをつけると、証明書の名前が指定できます
例えばApple Worldwide Developer Relations Certification Authorityの証明書をエクスポートしたい場合は以下のようになります
部分一致なので、-cのあとには、他と被らない程度のキーワードを入れれば良いです。
-aをつけると一致した全ての証明書が吐かれるので、ここで出力される証明書が１つになるまで探しました

$ security find-certificate -a -p -c "Apple World"
-----BEGIN CERTIFICATE-----
************************
************************
-----END CERTIFICATE-----

動作確認

確認のために前回と同様のGCPの動作確認をしてみました

最後２行を追加して証明書インストール済みイメージを作ります

FROM ubuntu:18.04

RUN apt update && apt install -y lsb-release
RUN apt install -y curl gnupg
RUN export CLOUD_SDK_REPO="cloud-sdk-$(lsb_release -c -s)" && \
    echo "deb http://packages.cloud.google.com/apt $CLOUD_SDK_REPO main" | tee -a /etc/apt/sources.list.d/google-cloud-sdk.list && \
    curl -k https://packages.cloud.google.com/apt/doc/apt-key.gpg | apt-key add - && \
    apt-get update -y && apt-get install google-cloud-sdk -y
# 追加
COPY root.pem /certificates/root.pem
RUN gcloud config set core/custom_ca_certs_file /certificates/root.pem

ビルドして、実行していきます

# root.pemに証明書を出力
$ security find-certificate -a -p  > root.pem
# この証明書を含んだDockerfileをビルド
$ docker build -t certificate_test .

これで無事にログインできるか確認します


$ docker run --rm -it certificate_test gcloud auth login
Go to the following link in your browser:

    https://accounts.google.com/o/oauth2/auth?code_challenge=****


Enter verification code: **********
WARNING: `gcloud auth login` no longer writes application default credentials.
If you need to use ADC, see:
  gcloud auth application-default --help

You are now logged in as [***].
Your current project is [None].  You can change this setting by running:

OKです

WarningはGCPのプロジェクトを設定しろよ、という警告なので関係ないです

おわりに

どうしても証明書周りで結構ハマるので、コマンドで証明書を吐き出せるのは助かります。コマンドなら手順的にも入れやすいので。