¿A qué almacén de CA de Docker apunta el fallo del proxy?
Separe las descargas de imágenes, las descargas de compilación y las solicitudes de la aplicación del contenedor al confiar en una CA de inspección autorizada.
Añadir una CA corporativa dentro de un contenedor no puede arreglar la descarga de imagen fallida de un compañero. Una descarga correcta tampoco demuestra que la aplicación dentro de la imagen confíe en el servicio HTTPS inspeccionado.
| Operación | Confianza que investigar |
|---|---|
| Descargar una imagen mediante el proxy de inspección de la organización | El host o el entorno Docker que realiza la descarga |
| Descargar durante la compilación de una imagen | El entorno de compilación y su descargador |
| Llamar a un servicio HTTPS desde la aplicación en ejecución | El almacén del sistema operativo de la imagen o la configuración de confianza propia de la aplicación |
Siga el error hasta el proceso que verifica al par, y luego confirme el emisor, el nombre de host y la fase de handshake. Un servicio de inspección autorizado puede firmar el certificado de destino con la CA de la organización. Un fallo de TLS en un listener de proxy HTTPS no es automáticamente un fallo del certificado de destino alcanzado a través de él. Introducir la IP del proxy no aporta ningún material de confianza.
Instale el certificado público de emisor aprobado mediante el mecanismo compatible del host, la distribución de imagen o la aplicación correspondiente. La guía de CA de Docker cubre los almacenes del host y del contenedor, pero una ruta de CentOS no es una instrucción portátil para Debian o Windows. Una actualización puede deshacer lo añadido a un paquete generado; una aplicación Java u otro cliente con su propia configuración de CA puede ignorar por completo el paquete del sistema operativo.
Para una confianza persistente de la aplicación, coloque el cambio en el proceso aprobado de configuración de la imagen o de la aplicación. Una edición interactiva en un contenedor en ejecución no existirá en el siguiente contenedor creado a partir de la imagen.
Distribuya solo el certificado público de confianza necesario por el canal autorizado. Nunca ponga una clave privada de CA en una imagen ni trate la solicitud de instalación de raíz de un proxy público desconocido como una configuración habitual. Mantenga activada la verificación del nombre de host y de la cadena después de configurar el almacén previsto.