Кое хранилище за Docker CA сочи збоят на прокси сървъра?
Разделете изтеглянето на образи, изтеглянията при изграждане и заявките на приложението в контейнера, когато се доверявате на разрешен инспекционен CA.
Добавянето на фирмен CA вътре в контейнер не може да поправи неуспешното изтегляне на образ при колега. Успешното изтегляне също не доказва, че приложението в образа се доверява на инспектираната HTTPS услуга.
| Операция | Доверие, което да се изследва |
|---|---|
| Изтегляне на образ през инспекционното прокси на организацията | Хостът или средата Docker, извършваща изтеглянето |
| Изтегляне по време на изграждане на образ | Средата за изграждане и нейният инструмент за изтегляне |
| Извикване на HTTPS услуга от работещото приложение | Хранилището на операционната система в образа или собствената конфигурация за доверие на приложението |
Проследете грешката до процеса, който проверява отсрещната страна, след което потвърдете издателя, името на хоста и етапа на ръкостискане. Разрешена инспекционна услуга може да подпише сертификата на дестинацията с CA на организацията. TLS провал при слушател на HTTPS прокси не е автоматично провал на сертификата на дестинацията, достигната през него. Въвеждането на IP адреса на проксито не предоставя доверителен материал.
Инсталирайте одобрения публичен сертификат на издателя чрез поддържания механизъм на съответния хост, разпространение на образа или приложение. Указанията на Docker за CA обхващат хранилищата на хоста и контейнера, но път за CentOS не е преносима инструкция за Debian или Windows. Добавяне към генериран пакет може да бъде отменено от актуализация; приложение на Java или друг клиент със собствена CA конфигурация може изобщо да игнорира пакета на операционната система.
За постоянно доверие на приложението поставете промяната в одобрения процес за конфигурация на образа или приложението. Интерактивна редакция на един работещ контейнер ще липсва в следващия контейнер, създаден от образа.
Разпространявайте само необходимия публичен сертификат за доверие чрез разрешения канал. Никога не поставяйте частен ключ на CA в образ и не приемайте заявката за инсталиране на корен от непознато публично прокси като обичайна настройка. Оставете проверката на името на хоста и веригата включена, след като желаното хранилище е конфигурирано.