ຄວາມລົ້ມເຫຼວຂອງ proxy ຊີ້ໄປທີ່ Docker CA store ໃດ?
ແຍກການດຶງ image, ການດາວໂຫຼດຕອນ build ແລະຄຳຮ້ອງຂອງແອັບ container ເມື່ອໄວ້ໃຈ CA ກວດສອບທີ່ໄດ້ຮັບອະນຸຍາດ.
ການເພີ່ມ CA ຂອງບໍລິສັດໃນ container ບໍ່ສາມາດແກ້ການດຶງ image ທີ່ລົ້ມເຫຼວຂອງເພື່ອນຮ່ວມງານໄດ້. ການດຶງທີ່ສຳເລັດກໍບໍ່ໄດ້ພິສູດວ່າແອັບໃນ image ໄວ້ໃຈບໍລິການ HTTPS ທີ່ຖືກກວດສອບ.
| ການດຳເນີນການ | ຄວາມໄວ້ໃຈທີ່ຕ້ອງສືບສວນ |
|---|---|
| ດຶງ image ຜ່ານ proxy ກວດສອບຂອງອົງກອນ | Host ຫຼືສະພາບແວດລ້ອມ Docker ທີ່ດຶງ |
| ດາວໂຫຼດຕອນ build image | ສະພາບແວດລ້ອມ build ແລະຕົວດາວໂຫຼດຂອງມັນ |
| ເອີ້ນບໍລິການ HTTPS ຈາກແອັບທີ່ກຳລັງແລ່ນ | Store OS ຂອງ image ຫຼືການຕັ້ງຄ່າຄວາມໄວ້ໃຈຂອງແອັບເອງ |
ຕິດຕາມຂໍ້ຜິດພາດໄປຫາຂະບວນການທີ່ກວດສອບຝ່າຍກົງກັນຂ້າມ, ແລ້ວຢືນຢັນຜູ້ອອກ, ຊື່ host ແລະຂັ້ນຕອນ handshake. ບໍລິການກວດສອບທີ່ໄດ້ຮັບອະນຸຍາດສາມາດເຊັນໃບຢັ້ງຢືນປາຍທາງດ້ວຍ CA ຂອງອົງກອນ. ຄວາມລົ້ມເຫຼວ TLS ຢູ່ຕົວຮັບຟັງ proxy HTTPS ບໍ່ແມ່ນຄວາມລົ້ມເຫຼວຂອງໃບຢັ້ງຢືນປາຍທາງທີ່ເຂົ້າເຖິງຜ່ານມັນໂດຍອັດຕະໂນມັດ. ການໃສ່ IP ຂອງ proxy ບໍ່ໃຫ້ເອກະສານຄວາມໄວ້ໃຈ.
ຕິດຕັ້ງໃບຢັ້ງຢືນຜູ້ອອກສາທາລະນະທີ່ໄດ້ຮັບອະນຸມັດຜ່ານກົນໄກທີ່ host, ການແຈກຢາຍ image ຫຼືແອັບທີ່ກ່ຽວຂ້ອງຮອງຮັບ. ຄຳແນະນຳ CA ຂອງ Docker ກວມເອົາ store ຂອງ host ແລະ container, ແຕ່ເສັ້ນທາງ CentOS ບໍ່ແມ່ນຄຳແນະນຳທີ່ຍ້າຍໄດ້ສຳລັບ Debian ຫຼື Windows. ການເພີ່ມໃສ່ bundle ທີ່ສ້າງຂຶ້ນອາດຖືກຍົກເລີກໂດຍການອັບເດດ; ແອັບ Java ຫຼື client ອື່ນທີ່ມີການຕັ້ງຄ່າ CA ຂອງຕົນເອງອາດລະເລີຍ bundle ຂອງ OS ທັງໝົດ.
ສຳລັບຄວາມໄວ້ໃຈຂອງແອັບທີ່ຍືນຍົງ, ໃສ່ການປ່ຽນແປງໃນຂະບວນການຕັ້ງຄ່າ image ຫຼືແອັບທີ່ໄດ້ຮັບອະນຸມັດ. ການແກ້ໄຂແບບໂຕ້ຕອບໃນ container ໜຶ່ງທີ່ກຳລັງແລ່ນຈະບໍ່ມີໃນ container ຕໍ່ໄປທີ່ສ້າງຈາກ image.
ແຈກຢາຍພຽງໃບຢັ້ງຢືນຄວາມໄວ້ໃຈສາທາລະນະທີ່ຈຳເປັນຜ່ານຊ່ອງທາງທີ່ໄດ້ຮັບອະນຸຍາດ. ຢ່າໃສ່ກະແຈສ່ວນຕົວ CA ໃນ image ແລະຢ່າຖືວ່າຄຳຮ້ອງຕິດຕັ້ງ root ຈາກ proxy ສາທາລະນະທີ່ບໍ່ຮູ້ຈັກເປັນການຕັ້ງຄ່າປົກກະຕິ. ຮັກສາການກວດສອບຊື່ host ແລະລະບົບໃຫ້ເປີດຢູ່ຫຼັງຈາກຕັ້ງຄ່າ store ທີ່ຕັ້ງໃຈໄວ້.