Na który magazyn CA Dockera wskazuje błąd proxy?
Rozdziel pobieranie obrazów, pobieranie podczas kompilacji i żądania aplikacji w kontenerze, gdy ufasz autoryzowanemu CA inspekcji.
Dodanie firmowego CA wewnątrz kontenera nie naprawi nieudanego pobrania obrazu u kolegi. Udane pobranie również nie dowodzi, że aplikacja wewnątrz obrazu ufa inspekowanej usłudze HTTPS.
| Operacja | Zaufanie do zbadania |
|---|---|
| Pobieranie obrazu przez proxy inspekcji organizacji | Host lub środowisko Dockera wykonujące pobieranie |
| Pobieranie podczas kompilacji obrazu | Środowisko kompilacji i jego narzędzie pobierające |
| Wywołanie usługi HTTPS z działającej aplikacji | Magazyn systemu operacyjnego obrazu lub własna konfiguracja zaufania aplikacji |
Prześledź błąd aż do procesu weryfikującego drugą stronę, a następnie potwierdź wystawcę, nazwę hosta i etap uścisku dłoni. Autoryzowana usługa inspekcji może podpisać certyfikat docelowy CA organizacji. Błąd TLS na nasłuchu proxy HTTPS nie jest automatycznie błędem certyfikatu docelowego osiąganego przez niego. Wpisanie adresu IP proxy nie dostarcza żadnego materiału zaufania.
Zainstaluj zatwierdzony publiczny certyfikat wystawcy za pomocą mechanizmu obsługiwanego przez odpowiedni host, dystrybucję obrazu lub aplikację. Wskazówki Dockera dotyczące CA obejmują magazyny hosta i kontenera, ale ścieżka CentOS nie jest przenośną instrukcją dla Debiana ani Windows. Dodanie do wygenerowanego pakietu może zostać cofnięte przez aktualizację; aplikacja Java lub inny klient z własną konfiguracją CA może całkowicie zignorować pakiet systemu.
Aby zaufanie aplikacji było trwałe, umieść zmianę w zatwierdzonym procesie konfiguracji obrazu lub aplikacji. Interaktywna edycja jednego działającego kontenera nie będzie obecna w następnym kontenerze utworzonym z obrazu.
Rozpowszechniaj tylko wymagany publiczny certyfikat zaufania autoryzowanym kanałem. Nigdy nie umieszczaj prywatnego klucza CA w obrazie i nie traktuj prośby o instalację korzenia z nieznanego publicznego proxy jako zwykłej konfiguracji. Pozostaw włączoną weryfikację nazwy hosta i łańcucha po skonfigurowaniu docelowego magazynu.