Σε ποιο χώρο CA του Docker δείχνει η αποτυχία του proxy;
Ξεχωρίστε τα pulls εικόνων, τις λήψεις κατά το build και τα αιτήματα της εφαρμογής του container όταν εμπιστεύεστε ένα εξουσιοδοτημένο CA επιθεώρησης.
Η προσθήκη εταιρικού CA μέσα σε ένα container δεν διορθώνει την αποτυχημένη λήψη εικόνας ενός συναδέλφου. Μια επιτυχημένη λήψη επίσης δεν αποδεικνύει ότι η εφαρμογή μέσα στην εικόνα εμπιστεύεται την επιθεωρούμενη υπηρεσία HTTPS.
| Λειτουργία | Εμπιστοσύνη προς διερεύνηση |
|---|---|
| Λήψη εικόνας μέσω του proxy επιθεώρησης του οργανισμού | Ο host ή το περιβάλλον Docker που εκτελεί τη λήψη |
| Λήψη κατά το build μιας εικόνας | Το περιβάλλον build και ο downloader του |
| Κλήση υπηρεσίας HTTPS από την εκτελούμενη εφαρμογή | Ο χώρος OS της εικόνας ή η δική της διαμόρφωση εμπιστοσύνης της εφαρμογής |
Εντοπίστε το σφάλμα στη διεργασία που επαληθεύει τον ομότιμο και μετά επιβεβαιώστε τον εκδότη, το όνομα host και το στάδιο χειραψίας. Μια εξουσιοδοτημένη υπηρεσία επιθεώρησης μπορεί να υπογράψει το πιστοποιητικό προορισμού με το CA του οργανισμού. Μια αποτυχία TLS σε listener proxy HTTPS δεν είναι αυτόματα αποτυχία του πιστοποιητικού προορισμού που επιτυγχάνεται μέσω αυτού. Η εισαγωγή της IP του proxy δεν παρέχει υλικό εμπιστοσύνης.
Εγκαταστήστε το εγκεκριμένο δημόσιο πιστοποιητικό εκδότη μέσω του υποστηριζόμενου μηχανισμού του σχετικού host, της διανομής εικόνας ή της εφαρμογής. Η καθοδήγηση CA του Docker καλύπτει τους χώρους host και container, αλλά μια διαδρομή CentOS δεν είναι φορητή οδηγία για Debian ή Windows. Η προσθήκη σε ένα παραγόμενο bundle μπορεί να αναιρεθεί από μια ενημέρωση· μια εφαρμογή Java ή άλλος client με δική του διαμόρφωση CA μπορεί να αγνοήσει εντελώς το bundle του OS.
Για μόνιμη εμπιστοσύνη της εφαρμογής, βάλτε την αλλαγή στην εγκεκριμένη διαδικασία διαμόρφωσης της εικόνας ή της εφαρμογής. Μια διαδραστική επεξεργασία σε ένα εκτελούμενο container δεν θα υπάρχει στο επόμενο container που δημιουργείται από την εικόνα.
Διανείμετε μόνο το απαιτούμενο δημόσιο πιστοποιητικό εμπιστοσύνης μέσω του εξουσιοδοτημένου καναλιού. Μην βάζετε ποτέ ιδιωτικό κλειδί CA σε εικόνα και μην αντιμετωπίζετε το αίτημα εγκατάστασης ρίζας ενός άγνωστου δημόσιου proxy ως συνήθη ρύθμιση. Κρατήστε ενεργή την επαλήθευση ονόματος host και αλυσίδας αφού διαμορφωθεί ο προοριζόμενος χώρος.