На које Docker CA складиште показује грешка проксија?
Одвојте повлачења слика, преузимања током изградње и захтеве апликације у контејнеру када верујете овлашћеном CA за инспекцију.
Додавање CA компаније унутар контејнера не може поправити неуспешно повлачење слике код колеге. Успешно повлачење такође не доказује да апликација унутар слике верује прегледаној HTTPS услузи.
| Операција | Поверење које треба истражити |
|---|---|
| Повлачење слике кроз прокси за инспекцију организације | Домаћин или Docker окружење које изводи повлачење |
| Преузимање током изградње слике | Окружење за изградњу и његов преузимач |
| Позивање HTTPS услуге из апликације која ради | Складиште ОС-а слике или сопствена конфигурација поверења апликације |
Пратите грешку до процеса који проверава другу страну, затим потврдите издаваоца, назив домаћина и фазу руковања. Овлашћена услуга за инспекцију може потписати сертификат одредишта CA-ом организације. TLS грешка на слушаоцу HTTPS проксија није аутоматски грешка сертификата одредишта до ког се долази кроз њега. Унос IP адресе проксија не даје никакав материјал поверења.
Инсталирајте одобрени јавни сертификат издаваоца кроз подржани механизам одговарајућег домаћина, дистрибуције слике или апликације. Docker смернице за CA покривају складишта домаћина и контејнера, али путања за CentOS није преносиво упутство за Debian или Windows. Додатак генерисаном пакету може поништити ажурирање; Java апликација или други клијент са сопственом CA конфигурацијом може потпуно занемарити пакет ОС-а.
За трајно поверење апликације ставите промену у одобрени процес конфигурације слике или апликације. Интерактивно уређивање једног контејнера који ради неће постојати у следећем контејнеру створеном из слике.
Ширите само потребни јавни сертификат поверења овлашћеним каналом. Никада не стављајте приватни кључ CA у слику и не третирајте захтев за инсталацију корена од непознатог јавног проксија као уобичајено подешавање. Држите проверу назива домаћина и ланца укљученом након што је жељено складиште конфигурисано.