Para qual armazenamento de CA do Docker o erro do proxy aponta?
Separe os pulls de imagem, os downloads da compilação e as solicitações da aplicação do contêiner ao confiar em uma CA de inspeção autorizada.
Adicionar uma CA corporativa dentro de um contêiner não corrige o pull de imagem que falhou para um colega. Um pull bem-sucedido também não prova que a aplicação dentro da imagem confia no serviço HTTPS inspecionado.
| Operação | Confiança a investigar |
|---|---|
| Baixar uma imagem pelo proxy de inspeção da organização | O host ou o ambiente Docker que realiza o pull |
| Baixar durante a compilação de uma imagem | O ambiente de compilação e seu downloader |
| Chamar um serviço HTTPS a partir da aplicação em execução | O armazenamento do sistema operacional da imagem ou a configuração de confiança própria da aplicação |
Rastreie o erro até o processo que verifica a contraparte e depois confirme o emissor, o nome do host e a etapa do handshake. Um serviço de inspeção autorizado pode assinar o certificado de destino com a CA da organização. Uma falha de TLS em um listener de proxy HTTPS não é automaticamente uma falha do certificado de destino alcançado por meio dele. Inserir o IP do proxy não fornece nenhum material de confiança.
Instale o certificado público de emissor aprovado pelo mecanismo compatível do host, da distribuição da imagem ou da aplicação correspondente. As orientações de CA do Docker cobrem os armazenamentos do host e do contêiner, mas um caminho do CentOS não é uma instrução portátil para Debian ou Windows. Uma adição a um pacote gerado pode ser desfeita por uma atualização; uma aplicação Java ou outro cliente com configuração de CA própria pode ignorar completamente o pacote do sistema operacional.
Para uma confiança persistente da aplicação, coloque a alteração no processo aprovado de configuração da imagem ou da aplicação. Uma edição interativa em um contêiner em execução não existirá no próximo contêiner criado a partir da imagem.
Distribua apenas o certificado público de confiança necessário pelo canal autorizado. Nunca coloque uma chave privada de CA em uma imagem nem trate a solicitação de instalação de raiz de um proxy público desconhecido como configuração comum. Mantenha a verificação do nome do host e da cadeia ativada depois de configurar o armazenamento pretendido.