Mihin Dockerin CA-säilöön proxyn virhe viittaa?
Erottele kuvahaut, build-lataukset ja konttisovelluksen pyynnöt, kun luotat valtuutettuun tarkastus-CA:han.
Yrityksen CA:n lisääminen kontin sisään ei korjaa kollegan epäonnistunutta kuvahakua. Onnistunut haku ei myöskään todista, että kuvan sisäinen sovellus luottaa tarkastettuun HTTPS-palveluun.
| Toiminto | Tutkittava luottamus |
|---|---|
| Kuvan haku organisaation tarkastusproxyn kautta | Haun suorittava isäntä tai Docker-ympäristö |
| Lataus kuvan buildin aikana | Build-ympäristö ja sen lataaja |
| HTTPS-palvelun kutsu käynnissä olevasta sovelluksesta | Kuvan OS-säilö tai sovelluksen oma luottamusasetus |
Jäljitä virhe prosessiin, joka varmistaa vastapuolen, ja vahvista sitten myöntäjä, isäntänimi ja kättelyn vaihe. Valtuutettu tarkastuspalvelu voi allekirjoittaa kohdevarmenteen organisaation CA:lla. TLS-virhe HTTPS-proxyn kuuntelijassa ei ole automaattisesti sen kautta saavutetun kohdevarmenteen virhe. Proxyn IP:n syöttäminen ei anna luottamusmateriaalia.
Asenna hyväksytty julkinen myöntäjävarmenne kyseisen isännän, kuvajakelun tai sovelluksen tukemalla mekanismilla. Dockerin CA-ohje kattaa isännän ja kontin säilöt, mutta CentOS-polku ei ole siirrettävä ohje Debianille tai Windowsille. Luotuun nippuun lisätty asia voi peruuntua päivityksessä; Java-sovellus tai muu asiakasohjelma omalla CA-asetuksellaan voi jättää OS-nipun kokonaan huomiotta.
Jatkuvan sovellusluottamuksen vuoksi muutos on tehtävä hyväksyttyyn kuvan tai sovelluksen asetusprosessiin. Yhden käynnissä olevan kontin interaktiivinen muokkaus puuttuu seuraavasta kuvasta luotavasta kontista.
Jaakaa vain tarvittava julkinen luottamusvarmenne valtuutetun kanavan kautta. Älä koskaan laita CA:n yksityistä avainta kuvaan äläkä kohtele tuntemattoman julkisen proxyn juuriasennuspyyntöä tavallisena asetuksena. Pidä isäntänimen ja ketjun varmistus käytössä, kun haluttu säilö on määritetty.