Aling Docker CA store ang itinuturo ng pagpalya ng proxy?
Ihiwalay ang paghila ng image, pag-download sa build at mga kahilingan ng container application kapag nagtitiwala sa awtorisadong inspection CA.
Ang pagdagdag ng company CA sa loob ng container ay hindi makakapag-ayos ng bigong paghila ng image ng katrabaho. Ang matagumpay na paghila ay hindi rin nagpapatunay na ang application sa loob ng image ay nagtitiwala sa sinuring HTTPS service.
| Operasyon | Tiwala na imbestigahan |
|---|---|
| Paghila ng image sa inspection proxy ng organisasyon | Ang host o Docker environment na gumagawa ng paghila |
| Pag-download habang nagbu-build ng image | Ang build environment at ang downloader nito |
| Pagtawag sa HTTPS service mula sa tumatakbong application | Ang OS store ng image o ang sariling trust configuration ng application |
Sundan ang error hanggang sa prosesong nagbe-verify sa kabilang panig, pagkatapos ay kumpirmahin ang issuer, hostname at yugto ng handshake. Ang awtorisadong inspection service ay maaaring pumirma sa destination certificate gamit ang CA ng organisasyon. Ang TLS failure sa HTTPS proxy listener ay hindi awtomatikong failure ng destination certificate na naabot sa pamamagitan nito. Ang paglalagay ng IP ng proxy ay hindi nagbibigay ng anumang trust material.
I-install ang aprubadong public issuer certificate sa pamamagitan ng sinusuportahang mekanismo ng kaugnay na host, pamamahagi ng image o application. Ang CA guidance ng Docker ay sumasaklaw sa host at container store, ngunit ang path ng CentOS ay hindi portable na tagubilin para sa Debian o Windows. Ang pagdagdag sa isang nabuong bundle ay maaaring bawiin ng update; ang Java application o ibang client na may sariling CA configuration ay maaaring lubusang huwag pansinin ang OS bundle.
Para sa patuloy na tiwala ng application, ilagay ang pagbabago sa aprubadong proseso ng configuration ng image o application. Ang interactive na pag-edit sa isang tumatakbong container ay wala sa susunod na container na gagawin mula sa image.
Ipamahagi lamang ang kinakailangang public trust certificate sa awtorisadong channel. Huwag kailanman maglagay ng CA private key sa image at huwag ituring na karaniwang setup ang root-install request ng isang hindi kilalang public proxy. Panatilihing naka-enable ang hostname at chain verification pagkatapos ma-configure ang nilalayong store.