Liema maħżen CA ta' Docker jindika l-falliment tal-proxy?
Issepara l-ġbid tal-immaġini, it-tniżżil tal-build u t-talbiet tal-applikazzjoni tal-container meta wieħed jafda CA tal-ispezzjoni awtorizzata.
Iż-żieda ta' CA tal-kumpanija ġewwa container ma tistax tissewwi l-ġbid tal-immaġni fallut ta' kollega. Ġbid b'suċċess lanqas ma jipprova li l-applikazzjoni ġewwa l-immaġni tafda s-servizz HTTPS spezzjonat.
| Operazzjoni | Fiduċja li għandha tiġi investigata |
|---|---|
| Iġbed immaġni permezz tal-proxy tal-ispezzjoni tal-organizzazzjoni | Il-host jew l-ambjent Docker li jwettaq il-ġbid |
| Niżżel waqt build ta' immaġni | L-ambjent tal-build u d-downloader tiegħu |
| Sejjaħ servizz HTTPS mill-applikazzjoni li qed taħdem | Il-maħżen tal-OS tal-immaġni jew il-konfigurazzjoni tal-fiduċja tal-applikazzjoni stess |
Segwi l-iżball sal-proċess li jivverifika l-kontroparti, imbagħad ikkonferma l-emittent, l-isem tal-host u l-istadju tal-handshake. Servizz tal-ispezzjoni awtorizzat jista' jiffirma ċ-ċertifikat tad-destinazzjoni bil-CA tal-organizzazzjoni. Falliment TLS fuq listener tal-proxy HTTPS mhuwiex awtomatikament falliment taċ-ċertifikat tad-destinazzjoni li jintlaħaq permezz tiegħu. Id-dħul tal-IP tal-proxy ma jipprovdi l-ebda materjal ta' fiduċja.
Installa ċ-ċertifikat pubbliku tal-emittent approvat permezz tal-mekkaniżmu appoġġjat tal-host, tad-distribuzzjoni tal-immaġni jew tal-applikazzjoni rilevanti. Il-gwida tal-CA ta' Docker tkopri l-maħżen tal-host u tal-container, iżda passaġġ ta' CentOS mhuwiex struzzjoni portabbli għal Debian jew Windows. Żieda ma' bundle ġġenerat tista' tiġi revokata minn aġġornament; applikazzjoni Java jew klijent ieħor bil-konfigurazzjoni tal-CA tiegħu jista' jinjora l-bundle tal-OS għal kollox.
Għal fiduċja tal-applikazzjoni persistenti, poġġi l-bidla fil-proċess tal-konfigurazzjoni approvat tal-immaġni jew tal-applikazzjoni. Editjar interattiv f'container wieħed li qed jaħdem ma jkunx preżenti fil-container li jmiss maħluq mill-immaġni.
Qassam biss iċ-ċertifikat pubbliku tal-fiduċja meħtieġ mill-kanal awtorizzat. Qatt tpoġġi private key tal-CA f'immaġni u tittrattax talba għall-installazzjoni tal-għerq minn proxy pubbliku mhux magħruf bħala setup ordinarju. Ħalli l-verifika tal-isem tal-host u tal-katina attiva wara li l-maħżen maħsub ikun ikkonfigurat.