A quale archivio CA di Docker punta l'errore del proxy?
Distinguere i pull delle immagini, i download della build e le richieste dell'applicazione del container quando si considera attendibile una CA di ispezione autorizzata.
Aggiungere una CA aziendale dentro un container non può correggere il pull di un'immagine non riuscito di un collega. Un pull riuscito non dimostra nemmeno che l'applicazione dentro l'immagine consideri attendibile il servizio HTTPS ispezionato.
| Operazione | Fiducia da verificare |
|---|---|
| Estrarre un'immagine tramite il proxy di ispezione dell'organizzazione | L'host o l'ambiente Docker che esegue il pull |
| Scaricare durante la build di un'immagine | L'ambiente di build e il suo downloader |
| Chiamare un servizio HTTPS dall'applicazione in esecuzione | L'archivio del sistema operativo dell'immagine o la configurazione di fiducia propria dell'applicazione |
Risalire all'errore fino al processo che verifica la controparte, quindi confermare l'emittente, il nome host e la fase di handshake. Un servizio di ispezione autorizzato può firmare il certificato di destinazione con la CA dell'organizzazione. Un errore TLS su un listener del proxy HTTPS non è automaticamente un errore del certificato di destinazione raggiunto tramite esso. Inserire l'IP del proxy non fornisce alcun materiale di fiducia.
Installare il certificato pubblico dell'emittente approvato tramite il meccanismo supportato dall'host, dalla distribuzione dell'immagine o dall'applicazione pertinente. Le indicazioni CA di Docker coprono gli archivi dell'host e del container, ma un percorso CentOS non è un'istruzione portabile per Debian o Windows. Un'aggiunta a un bundle generato può essere annullata da un aggiornamento; un'applicazione Java o un altro client con la propria configurazione CA può ignorare del tutto il bundle del sistema operativo.
Per una fiducia persistente dell'applicazione, inserire la modifica nel processo di configurazione approvato dell'immagine o dell'applicazione. Una modifica interattiva a un container in esecuzione sarà assente nel container successivo creato dall'immagine.
Distribuire solo il certificato pubblico di fiducia necessario tramite il canale autorizzato. Non inserire mai una chiave privata CA in un'immagine e non trattare la richiesta di installazione della radice da parte di un proxy pubblico sconosciuto come una configurazione ordinaria. Mantenere attiva la verifica del nome host e della catena dopo aver configurato l'archivio previsto.