自建 harbor 证书问题

刚刚看到有人问 gcr.io 的镜像问题就想起来以前的没解决的问题。 就是我们自建 harbor 的时候,如果启用了 https,想要用域名访问的时候就要么用证书,要么在 deamon.json 中增加 insecurity 项。

我之前是用 acme 申请的免费证书，直接在 nginx 上配置证书，如果我用命令 docker pull xxx.domian.com/image:latest拉取镜像的时候,会报 x509 错误，如: x509: certificate signed by unknown authority；如果我用 openssl 生成自签证书，想要正常用的话，也需要把证书手动复制到每台机器上 /etc/docker/cert.d目录下。

而我看比如阿里云他们的镜像源也不需要配置证书就可以直接拉取了,还有我也见过公司合作的厂商也有些的 docker 仓库的域名也不需要特别配置就可以直接拉取，那么他们用的证书是什么样的证书，为啥可以直接通过 docker daemon 的验证，这种证书有免费的吗？

因为我对这块也不熟，查了谷歌跟百度也没有找到答案，所以过来请教一下各位大佬。