Către ce depozit CA din Docker indică eroarea proxy-ului?
Separați descărcările de imagini, descărcările din timpul construirii și cererile aplicației din container atunci când aveți încredere într-un CA de inspecție autorizat.
Adăugarea unui CA de companie în interiorul unui container nu poate remedia descărcarea eșuată a unei imagini la un coleg. Nici o descărcare reușită nu dovedește că aplicația din imagine are încredere în serviciul HTTPS inspectat.
| Operațiune | Încrederea de investigat |
|---|---|
| Descărcarea unei imagini prin proxy-ul de inspecție al organizației | Gazda sau mediul Docker care efectuează descărcarea |
| Descărcarea în timpul construirii unei imagini | Mediul de construire și descărcătorul său |
| Apelarea unui serviciu HTTPS din aplicația care rulează | Depozitul sistemului de operare al imaginii sau configurația proprie de încredere a aplicației |
Urmăriți eroarea până la procesul care verifică cealaltă parte, apoi confirmați emitentul, numele gazdei și etapa de handshake. Un serviciu de inspecție autorizat poate semna certificatul de destinație cu CA-ul organizației. O eroare TLS la un listener de proxy HTTPS nu este automat o eroare a certificatului de destinație atins prin el. Introducerea IP-ului proxy-ului nu oferă niciun material de încredere.
Instalați certificatul public de emitent aprobat prin mecanismul acceptat al gazdei, al distribuției imaginii sau al aplicației relevante. Ghidul CA al Docker acoperă depozitele gazdei și ale containerului, dar o cale CentOS nu este o instrucțiune portabilă pentru Debian sau Windows. O adăugare la un pachet generat poate fi anulată de o actualizare; o aplicație Java sau un alt client cu propria configurație CA poate ignora complet pachetul sistemului de operare.
Pentru o încredere persistentă a aplicației, puneți modificarea în procesul aprobat de configurare a imaginii sau a aplicației. O modificare interactivă la un container care rulează nu va exista în următorul container creat din imagine.
Distribuiți doar certificatul public de încredere necesar prin canalul autorizat. Nu puneți niciodată o cheie privată CA într-o imagine și nu tratați cererea de instalare a rădăcinii venită de la un proxy public necunoscut ca pe o configurare obișnuită. Păstrați activă verificarea numelui gazdei și a lanțului după configurarea depozitului dorit.