Naar welke Docker CA-opslag wijst de proxyfout?
Onderscheid image-pulls, build-downloads en verzoeken van de containerapplicatie wanneer u een geautoriseerde inspectie-CA vertrouwt.
Een bedrijfs-CA toevoegen in een container kan de mislukte image-pull van een collega niet oplossen. Een geslaagde pull bewijst ook niet dat de applicatie in de image de geïnspecteerde HTTPS-dienst vertrouwt.
| Bewerking | Te onderzoeken vertrouwen |
|---|---|
| Een image pullen via de inspectieproxy van de organisatie | De host of Docker-omgeving die de pull uitvoert |
| Downloaden tijdens een image-build | De build-omgeving en haar downloader |
| Een HTTPS-dienst aanroepen vanuit de draaiende applicatie | De OS-opslag van de image of de eigen vertrouwensconfiguratie van de applicatie |
Volg de fout naar het proces dat de tegenpartij verifieert en bevestig daarna de uitgever, de hostnaam en de handshake-fase. Een geautoriseerde inspectiedienst kan het doelsertificaat ondertekenen met de CA van de organisatie. Een TLS-fout bij een HTTPS-proxylistener is niet automatisch een fout van het doelsertificaat dat er via wordt bereikt. Het invoeren van het proxy-IP levert geen vertrouwensmateriaal op.
Installeer het goedgekeurde openbare uitgeverscertificaat via het ondersteunde mechanisme van de betreffende host, imagedistributie of applicatie. De CA-richtlijnen van Docker dekken de opslag van host en container, maar een CentOS-pad is geen overdraagbare instructie voor Debian of Windows. Een toevoeging aan een gegenereerde bundel kan ongedaan worden gemaakt door een update; een Java-applicatie of een andere client met een eigen CA-configuratie kan de OS-bundel volledig negeren.
Voor blijvend applicatievertrouwen brengt u de wijziging aan in het goedgekeurde configuratieproces van de image of de applicatie. Een interactieve bewerking van één draaiende container ontbreekt in de volgende container die uit de image wordt gemaakt.
Verspreid alleen het vereiste openbare vertrouwenscertificaat via het geautoriseerde kanaal. Plaats nooit een privésleutel van een CA in een image en behandel een root-installatieverzoek van een onbekende openbare proxy niet als gewone installatie. Houd hostnaam- en ketenverificatie ingeschakeld nadat de bedoelde opslag is geconfigureerd.