Chyby certifikátu SSL po přesměrováních s vlastním balíčkem CA
Zkontrolujte, zda explicitně zvolený soubor CA obsahuje veškerý materiál důvěry, který skutečná cesta požadavku potřebuje, včetně přesměrovaných hostitelů.
Firemní soubor CA opraví první URL, pak přesměrování neprojde ověřením. Zkontrolujte, zda vlastní volba CA nahradila předchozí vstup důvěry klienta, místo aby k němu něco přidala.
Takové chování závisí na backendu TLS a na volbě. Soubor obsahující jen podnikovou CA může klienta nechat bez dalších autorit, které potřebuje.
- Sledujte každý protějšek. První hostitel může být zachycen pod podnikovým vydavatelem. Pozdější hostitel může použít obchvat, jinou cestu inspekce nebo veřejně vydaný řetěz.
- Zaznamenejte vstupy selhávajícího klienta. Uchovejte požadované jméno hostitele, cíl přesměrování, přijatého vydavatele, výsledek ověření a zvolenou konfiguraci důvěry. Fungující prohlížeč může používat jiné úložiště kořenů.
- Prověřte pravidla výběru backendu. Sestavení curl mohou používat nativní ověření nebo kořeny založené na souborech a explicitní volby CA mohou tento výběr změnit. Recept pro tento spustitelný soubor nenastavuje prostředí Python ani JVM.
Použijte udržovaný balíček nebo podporované uspořádání úložiště důvěry obsahující veřejné i soukromé autority, kterým má aplikace důvěřovat. Nepřidávejte soukromý klíč CA a nepovyšujte každý selhávající koncový certifikát na kořen jen proto, abyste odstranili další chybu.
Doručujte materiál důvěry podporovanou cestou aktualizace nasazení. Ruční nahrazení balíčku CA dodavatele může další aktualizace vrátit; udržujte vlastníka a proces údržby explicitní, aby ověřování pokračovalo po celé trase požadavku.