Në cilin depo CA të Docker tregon dështimi i proxy-t?
Ndani tërheqjet e imazheve, shkarkimet gjatë ndërtimit dhe kërkesat e aplikacionit të kontejnerit kur i besoni një CA inspektimi të autorizuar.
Shtimi i një CA të kompanisë brenda një kontejneri nuk mund të rregullojë tërheqjen e dështuar të imazhit te një koleg. As një tërheqje e suksesshme nuk provon që aplikacioni brenda imazhit i beson shërbimit HTTPS të inspektuar.
| Operacioni | Besimi për t'u hetuar |
|---|---|
| Tërheqja e një imazhi përmes proxy-t të inspektimit të organizatës | Hosti ose mjedisi Docker që kryen tërheqjen |
| Shkarkimi gjatë ndërtimit të një imazhi | Mjedisi i ndërtimit dhe shkarkuesi i tij |
| Thirrja e një shërbimi HTTPS nga aplikacioni që po ekzekutohet | Depoja e OS-it të imazhit ose konfigurimi i besimit të vetë aplikacionit |
Gjurmoni gabimin deri te procesi që verifikon palën tjetër, pastaj konfirmoni lëshuesin, emrin e hostit dhe fazën e shtrëngimit të duarve. Një shërbim inspektimi i autorizuar mund të nënshkruajë certifikatën e destinacionit me CA-në e organizatës. Një dështim TLS në një dëgjues proxy HTTPS nuk është automatikisht një dështim i certifikatës së destinacionit që arrihet përmes tij. Futja e IP-së së proxy-t nuk ofron asnjë material besimi.
Instaloni certifikatën publike të lëshuesit të miratuar përmes mekanizmit të mbështetur të hostit, shpërndarjes së imazhit ose aplikacionit përkatës. Udhëzimi i CA-së së Docker mbulon depot e hostit dhe të kontejnerit, por një shteg CentOS nuk është udhëzim i transportueshëm për Debian ose Windows. Një shtesë në një paketë të gjeneruar mund të anulohet nga një përditësim; një aplikacion Java ose një klient tjetër me konfigurimin e vet të CA-së mund ta injorojë plotësisht paketën e OS-it.
Për besim të qëndrueshëm të aplikacionit, vendosni ndryshimin në procesin e miratuar të konfigurimit të imazhit ose aplikacionit. Një redaktim interaktiv në një kontejner që po ekzekutohet nuk do të jetë i pranishëm në kontejnerin tjetër të krijuar nga imazhi.
Shpërndani vetëm certifikatën publike të besimit të nevojshme përmes kanalit të autorizuar. Mos vendosni kurrë një çelës privat CA në një imazh dhe mos e trajtoni kërkesën për instalim rrënjë nga një proxy publik i panjohur si konfigurim i zakonshëm. Mbani aktiv verifikimin e emrit të hostit dhe zinxhirit pasi depoja e synuar të jetë konfiguruar.