A quin magatzem de CA de Docker apunta el fallo del proxy?
Separeu les extraccions d imatges, les baixades de la compilació i les peticions de l aplicació del contenidor quan confieu en una CA d inspecció autoritzada.
Afegir una CA corporativa dins d un contenidor no pot arreglar l extracció d imatge fallida d un company. Una extracció correcta tampoc no demostra que l aplicació dins de la imatge confiï en el servei HTTPS inspeccionat.
| Operació | Confiança a investigar |
|---|---|
| Extreure una imatge a través del proxy d inspecció de l organització | L amfitrió o l entorn de Docker que fa l extracció |
| Baixar durant la compilació d una imatge | L entorn de compilació i el seu descarregador |
| Cridar un servei HTTPS des de l aplicació en execució | El magatzem del sistema operatiu de la imatge o la configuració de confiança pròpia de l aplicació |
Resseguiu l error fins al procés que verifica la contrapart, i després confirmeu l emissor, el nom d amfitrió i la fase d intercanvi de claus. Un servei d inspecció autoritzat pot signar el certificat de destinació amb la CA de l organització. Una fallada de TLS en un oient de proxy HTTPS no és automàticament una fallada del certificat de destinació assolit a través seu. Introduir la IP del proxy no proporciona cap material de confiança.
Instal·leu el certificat públic d emissor aprovat mitjançant el mecanisme compatible de l amfitrió, la distribució d imatge o l aplicació corresponent. La guia de CA de Docker cobreix els magatzems de l amfitrió i del contenidor, però una ruta de CentOS no és una instrucció portable per a Debian o Windows. Afegir a un paquet generat es pot desfer amb una actualització; una aplicació Java o un altre client amb la seva pròpia configuració de CA pot ignorar completament el paquet del sistema operatiu.
Per a una confiança persistent de l aplicació, poseu el canvi en el procés de configuració aprovat de la imatge o de l aplicació. Una edició interactiva en un contenidor en execució no existirà en el següent contenidor creat a partir de la imatge.
Distribuïu només el certificat públic de confiança necessari pel canal autoritzat. No poseu mai una clau privada de CA en una imatge ni tracteu la petició d instal·lació d arrel d un proxy públic desconegut com una configuració ordinària. Manteniu activada la verificació del nom d amfitrió i de la cadena després de configurar el magatzem previst.