A que almacén de CA de Docker apunta o fallo do proxy?
Separe as descargas de imaxes, as descargas da compilación e as solicitudes da aplicación do contedor ao confiar nunha CA de inspección autorizada.
Engadir unha CA corporativa dentro dun contedor non pode arranxar a descarga de imaxe fallida dun compañeiro. Unha descarga correcta tampouco demostra que a aplicación dentro da imaxe confíe no servizo HTTPS inspeccionado.
| Operación | Confianza que investigar |
|---|---|
| Descargar unha imaxe mediante o proxy de inspección da organización | O host ou o contorno Docker que realiza a descarga |
| Descargar durante a compilación dunha imaxe | O contorno de compilación e o seu descargador |
| Chamar un servizo HTTPS desde a aplicación en execución | O almacén do sistema operativo da imaxe ou a configuración de confianza propia da aplicación |
Segue o erro ata o proceso que verifica o par, e despois confirma o emisor, o nome de host e a fase do apretón de mans. Un servizo de inspección autorizado pode asinar o certificado de destino coa CA da organización. Un fallo de TLS nun listener de proxy HTTPS non é automaticamente un fallo do certificado de destino acadado a través del. Introducir o IP do proxy non achega ningún material de confianza.
Instale o certificado público de emisor aprobado mediante o mecanismo compatible do host, a distribución da imaxe ou a aplicación correspondente. A guía de CA de Docker cobre os almacéns do host e do contedor, pero unha ruta de CentOS non é unha instrución portátil para Debian ou Windows. Unha actualización pode desfacer o engadido a un paquete xerado; unha aplicación Java ou outro cliente coa súa propia configuración de CA pode ignorar por completo o paquete do sistema operativo.
Para unha confianza persistente da aplicación, coloque o cambio no proceso aprobado de configuración da imaxe ou da aplicación. Unha edición interactiva nun contedor en execución non existirá no seguinte contedor creado a partir da imaxe.
Distribúa só o certificado público de confianza necesario pola canle autorizada. Nunca poña unha clave privada de CA nunha imaxe nin trate a solicitude de instalación raíz dun proxy público descoñecido como unha configuración habitual. Manteña activada a verificación do nome de host e da cadea despois de configurar o almacén previsto.