Vilket Docker CA-lager pekar proxyfelet på?
Skilj mellan image-hämtningar, build-nedladdningar och containerapplikationens förfrågningar när du litar på en auktoriserad inspektions-CA.
Att lägga till en företags-CA i en container kan inte åtgärda en kollegas misslyckade image-hämtning. En lyckad hämtning bevisar inte heller att applikationen i imagen litar på den inspekterade HTTPS-tjänsten.
| Åtgärd | Förtroende att undersöka |
|---|---|
| Hämta en image via organisationens inspektionsproxy | Värden eller Docker-miljön som utför hämtningen |
| Ladda ner under ett image-bygge | Byggmiljön och dess nedladdare |
| Anropa en HTTPS-tjänst från den körande applikationen | Imagens OS-lager eller applikationens egen förtroendekonfiguration |
Spåra felet till processen som verifierar motparten och bekräfta sedan utfärdare, värdnamn och handskakningssteg. En auktoriserad inspektionstjänst kan signera destinationscertifikatet med organisationens CA. Ett TLS-fel vid en HTTPS-proxylyssnare är inte automatiskt ett fel i destinationscertifikatet som nås genom den. Att ange proxyns IP ger inget förtroendematerial.
Installera det godkända offentliga utfärdarcertifikatet via den mekanism som stöds av den aktuella värden, imagedistributionen eller applikationen. Dockers CA-vägledning täcker värdens och containerns lager, men en CentOS-sökväg är inte en flyttbar instruktion för Debian eller Windows. Ett tillägg till ett genererat paket kan återställas av en uppdatering; en Java-applikation eller en annan klient med egen CA-konfiguration kan helt ignorera OS-paketet.
För varaktigt applikationsförtroende ska ändringen läggas i den godkända konfigurationsprocessen för imagen eller applikationen. En interaktiv ändring av en körande container kommer att saknas i nästa container som skapas från imagen.
Distribuera endast det nödvändiga offentliga förtroendecertifikatet via den auktoriserade kanalen. Lägg aldrig en privat CA-nyckel i en image och behandla inte en okänd offentlig proxys begäran om rotinstallation som vanlig konfiguration. Håll värdnamns- och kedjeverifiering aktiverad efter att det avsedda lagret har konfigurerats.