Op wéi en Docker CA-Speicher weist de Proxy-Fehler hin?
Trennt Image-Pulls, Build-Downloads an Ufroen vun der Container-Applikatioun, wann Dir enger autoriséierter Inspektiouns-CA vertraut.
Eng Firmen-CA an engem Container derbäisetze kann de gescheiterten Image-Pull vun engem Kolleg net reparéieren. En erfollegräichen Pull beweise grad sou wéineg, datt d'Applikatioun am Image der inspizéierter HTTPS-Service vertraut.
| Operatioun | Vertrauen ze ënnersichen |
|---|---|
| En Image iwwer den Inspektiounsproxy vun der Organisatioun zéien | Den Host oder d'Docker-Ëmfeld, deen den Pull ausféiert |
| Beim Build vun engem Image eroflueden | D'Build-Ëmfeld an hire Downloader |
| Eng HTTPS-Service aus der lafender Applikatioun ruffen | Den OS-Speicher vum Image oder dem Applikatioun seng eege Vertrauenskonfiguratioun |
Verfollegt de Fehler bis op de Prozess, deen de Géigendeel verifizéiert, a bestätegt duerno den Aussteller, den Hostnumm an d'Handshake-Phase. Eng autoriséiert Inspektiounsservice kann d'Zilzertifikat mat der CA vun der Organisatioun ënnerschreiwen. En TLS-Fehler op engem HTTPS-Proxy-Listener ass net automatesch e Fehler vum Zilzertifikat, dat duerch hien erreecht gëtt. D'Proxy-IP anzeginn gëtt kee Vertrauensmaterial.
Installéiert dat geneemegt ëffentlecht Ausstellerzertifikat iwwer dee vum betraffenen Host, der Image-Distributioun oder der Applikatioun ënnerstëtzte Mechanismus. D'CA-Uleedung vun Docker deckt d'Host- an d'Containerspeicher of, awer en CentOS-Wee ass keng portabel Uweisung fir Debian oder Windows. Eng Ergänzung zu engem generéierte Bundle kann duerch en Update réckgängeg gemaach ginn; eng Java-Applikatioun oder en anere Client mat senger eegener CA-Konfiguratioun kann de Bundle vum OS komplett ignoréieren.
Fir en dauerhaft Vertraue vun der Applikatioun setzt d'Ännerung an de geneemegten Image- oder Applikatiounskonfiguratiounsprozess. Eng interaktiv Ännerung un engem lafende Container wäert am nächsten Container, deen aus dem Image entsteet, feelen.
Verdeelt nëmmen dat noutwendegt ëffentlech Vertrauenszertifikat iwwer den autoriséierte Kanal. Setzt ni e private CA-Schlëssel an en Image a behandelt d'Root-Installatiounsfro vun engem onbekannte ëffentleche Proxy net als normal Ariichtung. Hält d'Hostnumm- an d'Keteverifikatioun aktiv, nodeems de gewënschte Speicher konfiguréiert ass.