Docker: x509: certificate signed by unknown authority

клиент тянет сертификат из системы, очевидно что тебе надо чтобы в системе твой самоподписанный сертификат был в качестве доверенных на дебьяне что-то вроде

cp ./keys/ca.pem /usr/local/share/ca-certificates/{name_of_you_cert}.crt
update-ca-certificates

Спасибо! Похоже, что ты прав.

Можно еще теоретический вопрос: там же в доках описан поцесс «защиты сокета», он так же использует сертификаты - ca.pem,key.pem и прочее. Они же вписываются в скрипт запуска. Как сделать так что бы они не «мешали» друг другу? Или их можно просто удалить?

хз о чем ты, но насколько я помню ты собирался поднимать swarm-mode а инструкции читаешь про standalone swarm. Там даже в верху указано про это красным.

Тут ничего сверху не написано. А про swarm, да - проглядел. В любом случае спасибо!