Na ktoré úložisko CA v Dockeri ukazuje zlyhanie proxy?
Oddeľte sťahovanie imagov, sťahovanie počas buildu a požiadavky aplikácie v kontajneri, keď dôverujete autorizovanej inšpekčnej CA.
Pridanie firemnej CA vnútri kontajnera neopraví neúspešné stiahnutie imagu u kolegu. Úspešné stiahnutie tiež nedokazuje, že aplikácia vnútri imagu dôveruje inšpektovanej službe HTTPS.
| Operácia | Dôvera na preskúmanie |
|---|---|
| Stiahnutie imagu cez inšpekčný proxy organizácie | Hostiteľ alebo prostredie Dockeru, ktoré sťahovanie vykonáva |
| Sťahovanie počas buildu imagu | Prostredie buildu a jeho sťahovač |
| Volanie služby HTTPS z bežiacej aplikácie | Úložisko OS imagu alebo vlastná konfigurácia dôvery aplikácie |
Vysledujte chybu až k procesu, ktorý overuje druhú stranu, potom potvrďte vydavateľa, názov hostiteľa a fázu handshake. Autorizovaná inšpekčná služba môže podpísať cieľový certifikát CA organizácie. Zlyhanie TLS na listeneri proxy HTTPS nie je automaticky zlyhaním cieľového certifikátu dosiahnutého cez neho. Zadanie IP adresy proxy neposkytuje žiadny materiál dôvery.
Nainštalujte schválený verejný certifikát vydavateľa podporovaným mechanizmom príslušného hostiteľa, distribúcie imagu alebo aplikácie. Pokyny Dockeru k CA pokrývajú úložiská hostiteľa a kontajnera, ale cesta pre CentOS nie je prenosný pokyn pre Debian alebo Windows. Pridanie do vygenerovaného balíka môže aktualizácia zrušiť; aplikácia Java alebo iný klient s vlastnou konfiguráciou CA môže balík OS úplne ignorovať.
Pre trvalú dôveru aplikácie vložte zmenu do schváleného procesu konfigurácie imagu alebo aplikácie. Interaktívna úprava jedného bežiaceho kontajnera nebude v ďalšom kontajneri vytvorenom z imagu.
Šírte iba potrebný verejný certifikát dôvery autorizovaným kanálom. Nikdy nevkladajte súkromný kľúč CA do imagu a nezaobchádzajte so žiadosťou o inštaláciu koreňa od neznámeho verejného proxy ako s bežným nastavením. Po konfigurácii zamýšľaného úložiska ponechajte overovanie názvu hostiteľa a reťazca zapnuté.