Ke penyimpanan CA Docker mana kegagalan proxy menunjuk?
Pisahkan penarikan image, unduhan build, dan permintaan aplikasi container saat memercayai CA inspeksi yang diotorisasi.
Menambahkan CA perusahaan di dalam container tidak dapat memperbaiki penarikan image yang gagal milik rekan kerja. Penarikan yang berhasil juga tidak membuktikan bahwa aplikasi di dalam image memercayai layanan HTTPS yang diinspeksi.
| Operasi | Kepercayaan yang harus diselidiki |
|---|---|
| Menarik image melalui proxy inspeksi organisasi | Host atau lingkungan Docker yang melakukan penarikan |
| Mengunduh selama build image | Lingkungan build dan pengunduhnya |
| Memanggil layanan HTTPS dari aplikasi yang berjalan | Penyimpanan OS image atau konfigurasi kepercayaan aplikasi itu sendiri |
Lacak galat hingga ke proses yang memverifikasi rekan, lalu pastikan penerbit, nama host, dan tahap handshake. Layanan inspeksi yang diotorisasi dapat menandatangani sertifikat tujuan dengan CA organisasi. Kegagalan TLS pada listener proxy HTTPS bukan secara otomatis kegagalan sertifikat tujuan yang dicapai melaluinya. Memasukkan IP proxy tidak memberikan materi kepercayaan apa pun.
Pasang sertifikat penerbit publik yang disetujui melalui mekanisme yang didukung host, distribusi image, atau aplikasi terkait. Panduan CA Docker mencakup penyimpanan host dan container, tetapi jalur CentOS bukan instruksi portabel untuk Debian atau Windows. Penambahan ke bundel yang dihasilkan dapat dibatalkan oleh pembaruan; aplikasi Java atau klien lain dengan konfigurasi CA sendiri dapat mengabaikan bundel OS sepenuhnya.
Untuk kepercayaan aplikasi yang menetap, letakkan perubahan dalam proses konfigurasi image atau aplikasi yang disetujui. Penyuntingan interaktif pada satu container yang berjalan tidak akan ada di container berikutnya yang dibuat dari image.
Distribusikan hanya sertifikat kepercayaan publik yang diperlukan melalui saluran yang diotorisasi. Jangan pernah menaruh kunci privat CA dalam image dan jangan memperlakukan permintaan pemasangan root dari proxy publik yang tidak dikenal sebagai penyiapan biasa. Biarkan verifikasi nama host dan rantai tetap aktif setelah penyimpanan yang dimaksud dikonfigurasi.