Millisele Dockeri CA hoidlale proxy tõrge osutab?
Eraldage pilditõmbed, ehituse allalaadimised ja konteineri rakenduse päringud, kui usaldate volitatud kontroll-CA-d.
Ettevõtte CA lisamine konteineri sees ei paranda kolleegi ebaõnnestunud pilditõmmet. Õnnestunud tõmme ei tõesta ka seda, et pildi sees olev rakendus usaldab kontrollitud HTTPS-teenust.
| Toiming | Uuritav usaldus |
|---|---|
| Pildi tõmbamine organisatsiooni kontroll-proxy kaudu | Tõmbamist teostav host või Dockeri keskkond |
| Allalaadimine pildi ehitamise ajal | Ehitukeskkond ja selle allalaadija |
| HTTPS-teenuse kutsumine töötavast rakendusest | Pildi OS-i hoidla või rakenduse enda usaldusseade |
Jälgige viga protsessini, mis kontrollib vastaspoolt, seejärel kinnitage väljaandja, hostinimi ja käepigistuse etapp. Volitatud kontrollteenus võib sihtsertifikaadi organisatsiooni CA-ga allkirjastada. TLS-i tõrge HTTPS-proxy kuulajas ei ole automaatselt selle kaudu jõutava sihtsertifikaadi tõrge. Proxy IP sisestamine ei anna usaldusmaterjali.
Installige kinnitatud avalik väljaandja sertifikaat asjaomase hosti, pildi levitamise või rakenduse toetatud mehhanismi kaudu. Dockeri CA-juhised hõlmavad hosti ja konteineri hoidlaid, kuid CentOS-i tee ei ole Debiani ega Windowsi jaoks ülekantav juhis. Loodud kimbule lisamise võib uuendus tühistada; Java-rakendus või muu klient oma CA-seadega võib OS-i kimbut täielikult eirata.
Püsiva rakenduse usalduse jaoks pange muudatus kinnitatud pildi või rakenduse seadistusprotsessi. Ühe töötava konteineri interaktiivne muutmine puudub järgmises pildist loodavas konteineris.
Levitäge ainult vajalikku avalikku usaldussertifikaati volitatud kanali kaudu. Ärge kunagi pange CA privaatvõtit pilti ega käsitlege tundmatu avaliku proxy juurpaigalduse taotlust tavalise seadistusena. Hoidke hostinime ja ahela kontroll lubatud pärast soovitud hoidla seadistamist.