对比一下手动安装的 Docker，会发现 /etc/docker 目录下并没有这三个文件。毫无疑问它们是 Docker Machine 生成的，主要是为了启用 Docker daemon 的 TLS 验证功能。关于 TLS，笔者在《局域网内部署 Docker Registry》一文中略有涉及，当时是手动配置的证书，感兴趣的朋友可以参考一下。

现在让我们回到安装了 Docker Machine 的主机上。

查看 /home/nick/.docker/machines/krdevdb 目录，发现了一些同名的文件(ca.pem、server-key.pem 和 server.pem)，和主机 drdevdb 上的文件对比一下，发现它们是一样的！

让我们再来观察一下这幅图：

除了我们关注过的 DOCKER_HOST，还有另外三个环境变量。其中的 DOCKER_TLS_VERIFY 告诉 Docker 客户端需要启用 TLS 验证。DOCKER_CERT_PATH 则指定了 TLS 验证所依赖文件的目录，这个目录正是我们前面查看的 /home/nick/.docker/machines/krdevdb 目录。

行文至此，困扰我们的安全问题终于得到了解释：Docker Machine 在执行 create 命令的过程中，生成了一系列保证安全性的秘钥和数字证书(*.pem)文件。这些文件在本地和远程 Docker 主机上各存一份，本地的用于配置 Docker 客户端，远程主机上的用于配置 Docker daemon，让两边都设置 TLS 验证的标记，依此实现安全的通信。

从本文的前一部分可以看到，Docker 其实把该提供的都提供了，只是配置起来比较麻烦！但是对用户来说，需要的总是更简单，更容易的配置。因此从使用者的角度来看，Docker Machine 确实很酷，一个命令下去不仅能够安装虚机和 Docker，还完成了很多手动搞起来令人生畏的配置。然后带来几个清晰、简单的命令。再然后，同学们就可以开心愉快的玩耍了！