Watter Docker-CA-stoor wys die instaanbediener-fout aan?
Skei beeldonttrekkings, bou-aflaaie en houerprogramversoeke wanneer daar op 'n gemagtigde inspeksie-CA vertrou word.
Om 'n maatskappy-CA binne 'n houer by te voeg, kan nie 'n kollega se mislukte beeldonttrekking regstel nie. 'n Suksesvolle onttrekking bewys ook nie dat die program binne die beeld die geïnspekteerde HTTPS-diens vertrou nie.
| Bewerking | Vertroue om te ondersoek |
|---|---|
| Trek 'n beeld deur die organisasie se inspeksie-instaanbediener | Die gasheer of Docker-omgewing wat die onttrekking doen |
| Laai af tydens 'n beeldbou | Die bou-omgewing en sy aflaaier |
| Roep 'n HTTPS-diens vanuit die lopende program | Die beeld se bedryfstelselstoor of die program se eie vertrouekonfigurasie |
Spoor die fout na die proses wat die eweknie verifieer, en bevestig dan die uitreiker, gasheernaam en handdruk-stadium. 'n Gemagtigde inspeksiediens kan die bestemmingsertifikaat met die organisasie se CA onderteken. 'n TLS-mislukking by 'n HTTPS-instaanbediener-luisteraar is nie outomaties 'n mislukking van die bestemmingsertifikaat wat daardeur bereik word nie. Om die instaanbediener se IP in te voer, verskaf geen vertrouemateriaal nie.
Installeer die goedgekeurde openbare uitreiker-sertifikaat deur die betrokke gasheer, beeldverspreiding of program se ondersteunde meganisme. Docker se CA-leiding dek gasheer- en houerstores, maar 'n CentOS-pad is nie 'n draagbare Debian- of Windows-instruksie nie. Om by 'n gegenereerde bondel by te voeg, kan deur 'n opdatering ongedaan gemaak word; 'n Java-program of 'n ander kliënt met sy eie CA-konfigurasie kan die bedryfstelselbondel heeltemal ignoreer.
Vir blywende programvertroue, plaas die verandering in die goedgekeurde beeld- of programkonfigurasieproses. 'n Interaktiewe wysiging aan een lopende houer sal afwesig wees in die volgende houer wat uit die beeld geskep word.
Versprei slegs die vereiste openbare vertrouesertifikaat deur die gemagtigde kanaal. Moet nooit 'n CA-privaatsleutel in 'n beeld plaas nie, en behandel nie 'n onbekende openbare instaanbediener se wortelinstallasie-versoek as gewone opstelling nie. Hou gasheernaam- en kettingverifikasie geaktiveer nadat die beoogde stoor gekonfigureer is.