Auf welchen Docker-CA-Speicher weist der Proxyfehler hin?
Trennen Sie Image-Pulls, Build-Downloads und Anfragen der Container-Anwendung, wenn Sie einer autorisierten Inspektions-CA vertrauen.
Das Hinzufügen einer Unternehmens-CA in einem Container kann den fehlgeschlagenen Image-Pull eines Kollegen nicht beheben. Ein erfolgreicher Pull belegt ebenfalls nicht, dass die Anwendung im Image dem inspizierten HTTPS-Dienst vertraut.
| Vorgang | Zu prüfendes Vertrauen |
|---|---|
| Ein Image über den Inspektionsproxy der Organisation ziehen | Der Host oder die Docker-Umgebung, die den Pull ausführt |
| Download während eines Image-Builds | Die Build-Umgebung und ihr Downloader |
| Einen HTTPS-Dienst aus der laufenden Anwendung aufrufen | Der OS-Speicher des Images oder die eigene Vertrauenskonfiguration der Anwendung |
Verfolgen Sie den Fehler bis zu dem Prozess, der die Gegenstelle prüft, und bestätigen Sie dann Aussteller, Hostname und Handshake-Phase. Ein autorisierter Inspektionsdienst kann das Zielzertifikat mit der CA der Organisation signieren. Ein TLS-Fehler an einem HTTPS-Proxy-Listener ist nicht automatisch ein Fehler des über ihn erreichten Zielzertifikats. Die Eingabe der Proxy-IP liefert kein Vertrauensmaterial.
Installieren Sie das genehmigte öffentliche Ausstellerzertifikat über den unterstützten Mechanismus des jeweiligen Hosts, der Image-Verteilung oder der Anwendung. Die CA-Anleitung von Docker deckt Host- und Container-Speicher ab, aber ein CentOS-Pfad ist keine übertragbare Anweisung für Debian oder Windows. Das Anhängen an ein generiertes Bundle kann durch ein Update rückgängig gemacht werden; eine Java-Anwendung oder ein anderer Client mit eigener CA-Konfiguration kann das OS-Bundle ganz ignorieren.
Für dauerhaftes Anwendungsvertrauen gehört die Änderung in den genehmigten Image- oder Anwendungskonfigurationsprozess. Eine interaktive Änderung an einem laufenden Container fehlt im nächsten aus dem Image erstellten Container.
Verteilen Sie nur das erforderliche öffentliche Vertrauenszertifikat über den autorisierten Kanal. Legen Sie niemals einen privaten CA-Schlüssel in ein Image und behandeln Sie die Root-Installationsanfrage eines unbekannten öffentlichen Proxys nicht als normale Einrichtung. Lassen Sie die Hostnamen- und Kettenprüfung aktiviert, nachdem der vorgesehene Speicher konfiguriert ist.