На кое Docker CA складиште покажува грешката на проксито?
Одвојте ги влечењата на слики, преземањата при изградба и барањата на апликацијата во контејнерот кога верувате на овластен CA за инспекција.
Додавањето на компаниски CA внатре во контејнер не може да го поправи неуспешното влечење на слика кај колега. Успешното влечење исто така не докажува дека апликацијата внатре во сликата верува на инспектираната HTTPS услуга.
| Операција | Доверба што треба да се истражи |
|---|---|
| Влечење слика преку проксито за инспекција на организацијата | Домаќинот или Docker околината што го врши влечењето |
| Преземање за време на изградба на слика | Околината за изградба и нејзиниот преземач |
| Повикување HTTPS услуга од апликацијата што работи | Складиштето на оперативниот систем на сликата или сопствената конфигурација за доверба на апликацијата |
Проследете ја грешката до процесот што ја проверува спротивната страна, потоа потврдете го издавачот, името на домаќинот и фазата на ракување. Овластена услуга за инспекција може да го потпише сертификатот за одредиштето со CA на организацијата. TLS грешка кај слушател на HTTPS прокси не е автоматски грешка на сертификатот за одредиштето до кој се стигнува преку него. Внесувањето на IP адресата на проксито не дава никаков материјал за доверба.
Инсталирајте го одобрениот јавен сертификат на издавачот преку поддржаниот механизам на соодветниот домаќин, дистрибуција на сликата или апликација. Упатството на Docker за CA ги опфаќа складиштата на домаќинот и контејнерот, но патеката за CentOS не е преносливо упатство за Debian или Windows. Додатокот на генериран пакет може да биде поништен со ажурирање; Java апликација или друг клиент со сопствена CA конфигурација може целосно да го игнорира пакетот на оперативниот систем.
За трајна доверба на апликацијата, ставете ја промената во одобрениот процес за конфигурација на сликата или апликацијата. Интерактивното уредување на еден контејнер што работи нема да постои во следниот контејнер создаден од сликата.
Дистрибуирајте го само потребниот јавен сертификат за доверба преку овластениот канал. Никогаш не ставајте приватен клуч на CA во слика и не третирајте барањето за инсталација на корен од непознато јавно прокси како вообичаено поставување. Оставете ја проверката на името на домаќинот и синџирот вклучена откако ќе се конфигурира предвиденото складиште.