Quel magasin de CA Docker le message d'erreur du proxy désigne-t-il ?
Distinguez les téléchargements d'images, ceux de la compilation et les requêtes de l'application du conteneur lorsque vous faites confiance à une CA d'inspection autorisée.
Ajouter une CA d'entreprise dans un conteneur ne peut pas corriger l'échec de téléchargement d'image d'un collègue. Un téléchargement réussi ne prouve pas non plus que l'application dans l'image fait confiance au service HTTPS inspecté.
| Opération | Confiance à examiner |
|---|---|
| Télécharger une image via le proxy d'inspection de l'organisation | L'hôte ou l'environnement Docker qui effectue le téléchargement |
| Télécharger pendant la compilation d'une image | L'environnement de compilation et son outil de téléchargement |
| Appeler un service HTTPS depuis l'application en cours d'exécution | Le magasin du système d'exploitation de l'image ou la configuration de confiance propre à l'application |
Suivez l'erreur jusqu'au processus qui vérifie le pair, puis confirmez l'émetteur, le nom d'hôte et l'étape de la poignée de main. Un service d'inspection autorisé peut signer le certificat de destination avec la CA de l'organisation. Un échec TLS sur un écouteur de proxy HTTPS n'est pas automatiquement un échec du certificat de destination atteint à travers lui. Saisir l'IP du proxy ne fournit aucun élément de confiance.
Installez le certificat public d'émetteur approuvé via le mécanisme pris en charge par l'hôte, la distribution d'image ou l'application concernée. Les conseils de Docker sur les CA couvrent les magasins de l'hôte et du conteneur, mais un chemin CentOS n'est pas une instruction portable pour Debian ou Windows. Un ajout à un paquet généré peut être annulé par une mise à jour ; une application Java ou un autre client doté de sa propre configuration de CA peut ignorer complètement le paquet du système.
Pour une confiance durable de l'application, placez la modification dans le processus de configuration approuvé de l'image ou de l'application. Une modification interactive d'un conteneur en cours d'exécution sera absente du prochain conteneur créé à partir de l'image.
Ne distribuez que le certificat public de confiance nécessaire via le canal autorisé. Ne placez jamais une clé privée de CA dans une image et ne traitez pas la demande d'installation racine d'un proxy public inconnu comme une configuration ordinaire. Laissez la vérification du nom d'hôte et de la chaîne activée une fois le magasin voulu configuré.