Ո՞ր Docker CA պահոցին է մատնանշում proxy-ի ձախողումը:
Առանձնացրեք պատկերների ձգումները, build-ի ներբեռնումները և կոնտեյների հավելվածի հարցումները, երբ վստահում եք լիազորված ստուգման CA-ին:
Ընկերության CA-ի ավելացումը կոնտեյների ներսում չի կարող շտկել գործընկերոջ ձախողված պատկերի ձգումը: Հաջող ձգումը նույնպես չի ապացուցում, որ պատկերի ներսում գտնվող հավելվածը վստահում է ստուգված HTTPS ծառայությանը:
| Գործողություն | Ուսումնասիրվող վստահություն |
|---|---|
| Պատկերի ձգում կազմակերպության ստուգման proxy-ի միջոցով | Ձգումն իրականացնող հոսթը կամ Docker միջավայրը |
| Ներբեռնում պատկերի build-ի ընթացքում | Build-ի միջավայրը և դրա ներբեռնիչը |
| HTTPS ծառայության կանչ աշխատող հավելվածից | Պատկերի OS պահոցը կամ հավելվածի սեփական վստահության կարգավորումը |
Հետևեք սխալին մինչև զուգընկերոջը ստուգող գործընթացը, ապա հաստատեք թողարկողին, հոսթի անունը և ձեռքսեղմման փուլը: Լիազորված ստուգման ծառայությունը կարող է նպատակակետի վկայագիրը ստորագրել կազմակերպության CA-ով: HTTPS proxy-ի լսողի վրա TLS ձախողումը ինքնաբերաբար դրա միջով հասնող նպատակակետի վկայագրի ձախողում չէ: Proxy-ի IP-ի մուտքագրումը վստահության նյութ չի տալիս:
Տեղադրեք հաստատված հանրային թողարկողի վկայագիրը համապատասխան հոսթի, պատկերի բաշխման կամ հավելվածի աջակցվող մեխանիզմով: Docker-ի CA ուղեցույցը ընդգրկում է հոսթի և կոնտեյների պահոցները, սակայն CentOS-ի ուղին Debian-ի կամ Windows-ի համար տեղափոխելի հրահանգ չէ: Ստեղծված փաթեթին ավելացումը կարող է չեղարկվել թարմացումով. Java հավելվածը կամ սեփական CA կարգավորում ունեցող այլ հաճախորդ կարող է ընդհանրապես անտեսել OS փաթեթը:
Հավելվածի կայուն վստահության համար փոփոխությունը դրեք հաստատված պատկերի կամ հավելվածի կարգավորման գործընթացում: Մեկ աշխատող կոնտեյների ինտերակտիվ խմբագրումը բացակայելու է պատկերից ստեղծվող հաջորդ կոնտեյներում:
Տարածեք միայն անհրաժեշտ հանրային վստահության վկայագիրը լիազորված ուղիով: Երբեք CA մասնավոր բանալի չդրեք պատկերի մեջ և անծանոթ հանրային proxy-ի արմատի տեղադրման հարցումը սովորական կարգավորում մի համարեք: Նախատեսված պահոցը կարգավորելուց հետո թողեք հոսթի անվան և շղթայի ստուգումը միացված: