Kedai CA Docker yang manakah kegagalan proksi menunjukkan?
Asingkan tarikan imej, muat turun build dan permintaan aplikasi kontena apabila mempercayai CA pemeriksaan yang dibenarkan.
Menambah CA syarikat di dalam kontena tidak dapat membaiki tarikan imej rakan sekerja yang gagal. Tarikan yang berjaya juga tidak membuktikan bahawa aplikasi di dalam imej mempercayai perkhidmatan HTTPS yang diperiksa.
| Operasi | Kepercayaan untuk disiasat |
|---|---|
| Menarik imej melalui proksi pemeriksaan organisasi | Hos atau persekitaran Docker yang melakukan tarikan |
| Memuat turun semasa build imej | Persekitaran build dan pemuat turunnya |
| Memanggil perkhidmatan HTTPS daripada aplikasi yang berjalan | Stor OS imej atau konfigurasi kepercayaan aplikasi itu sendiri |
Jejaki ralat hingga ke proses yang mengesahkan rakan, kemudian sahkan pengeluar, nama hos dan peringkat jabat tangan. Perkhidmatan pemeriksaan yang dibenarkan boleh menandatangani sijil destinasi dengan CA organisasi. Kegagalan TLS pada pendengar proksi HTTPS bukan secara automatik kegagalan sijil destinasi yang dicapai melaluinya. Memasukkan IP proksi tidak memberikan sebarang bahan kepercayaan.
Pasang sijil pengeluar awam yang diluluskan melalui mekanisme yang disokong oleh hos, pengedaran imej atau aplikasi berkenaan. Panduan CA Docker meliputi stor hos dan kontena, tetapi laluan CentOS bukan arahan mudah alih untuk Debian atau Windows. Penambahan pada bundel yang dijana boleh dibatalkan oleh kemas kini; aplikasi Java atau klien lain dengan konfigurasi CA sendiri mungkin mengabaikan bundel OS sepenuhnya.
Untuk kepercayaan aplikasi yang berterusan, letakkan perubahan dalam proses konfigurasi imej atau aplikasi yang diluluskan. Suntingan interaktif pada satu kontena yang berjalan tidak akan ada dalam kontena seterusnya yang dicipta daripada imej.
Edarkan hanya sijil kepercayaan awam yang diperlukan melalui saluran yang dibenarkan. Jangan sekali-kali meletakkan kunci peribadi CA dalam imej dan jangan anggap permintaan pemasangan akar daripada proksi awam yang tidak dikenali sebagai persediaan biasa. Biarkan pengesahan nama hos dan rantai kekal dihidupkan selepas stor yang dimaksudkan dikonfigurasikan.