Hvaða Docker CA-geymslu bendir proxy-villan á?
Aðskiljið image-sóttir, byggingarhleðslur og beiðnir forrits í gáminum þegar treyst er á heimilaða skoðunar-CA.
Að bæta fyrirtækis-CA inni í gámi getur ekki lagað misheppnaða image-sótt hjá samstarfsmanni. Árangursrík sótt sannar heldur ekki að forritið inni í myndinni treysti skoðuðu HTTPS-þjónustunni.
| Aðgerð | Traust sem þarf að rannsaka |
|---|---|
| Sækja image í gegnum skoðunarproxy stofnunarinnar | Hýsillinn eða Docker-umhverfið sem framkvæmir sóttina |
| Hlaða niður við byggingu image | Byggingarumhverfið og niðurhalsforritið þess |
| Kalla HTTPS-þjónustu frá keyrandi forritinu | OS-geymsla myndarinnar eða eigin trauststilling forritsins |
Rekjið villuna að ferlinu sem staðfestir mótaðilann og staðfestið síðan útgefandann, hýsilnafnið og handabandsskrefið. Heimilað skoðunarþjónusta getur skrifað undir áfangastaðarvottorðið með CA stofnunarinnar. TLS-bilun á HTTPS-proxy hlustara er ekki sjálfkrafa bilun í áfangastaðarvottorðinu sem næst í gegnum hann. Að slá inn IP-tölu proxysins veitir ekkert traustsefni.
Setjið upp samþykkt opinbert útgefandavottorð í gegnum studda aðferð viðkomandi hýsils, myndadreifingar eða forrits. CA-leiðbeiningar Docker ná yfir geymslur hýsils og gáms, en CentOS-slóð er ekki flytjanleg leiðbeining fyrir Debian eða Windows. Viðbót við myndaða búnt getur verið afturkölluð með uppfærslu; Java-forrit eða annar biðlari með eigin CA-stillingu getur algjörlega hunsað búnt stýrikerfisins.
Fyrir varanlegt forritstraust skal setja breytinguna í samþykkt mynd- eða forritastillingarferli. Gagnvirk breyting á einum keyrandi gámi verður ekki til staðar í næsta gámi sem búinn er til úr myndinni.
Dreifið aðeins nauðsynlega opinberu traustsvottorðinu í gegnum heimilaða rás. Setjið aldrei einkanlega CA í mynd og meðhöndlið ekki beiðni ókunnugs opinbers proxys um rótarsetningu sem venjulega uppsetningu. Haldið hýsilnafns- og keðjustaðfestingu virkri eftir að ætluð geymsla hefur verið stillt.