代理失败指向哪个 Docker CA 存储？
在信任经授权的检查 CA 时，区分镜像拉取、构建下载和容器内应用的请求。
在容器内添加公司 CA 无法修复同事失败的镜像拉取。拉取成功也不能证明镜像内的应用信任被检查的 HTTPS 服务。
| 操作 | 需要排查的信任 |
|---|---|
| 通过组织的检查代理拉取镜像 | 执行拉取的主机或 Docker 环境 |
| 在镜像构建期间下载 | 构建环境及其下载器 |
| 从运行中的应用调用 HTTPS 服务 | 镜像的 OS 存储或应用自身的信任配置 |
将错误追踪到验证对端的进程，然后确认签发者、主机名和握手阶段。经授权的检查服务可能会用组织的 CA 为目标证书签名。HTTPS 代理监听器上的 TLS 失败并不自动意味着通过它访问的目标证书失败。输入代理 IP 不会提供任何信任材料。
通过相应主机、镜像分发或应用所支持的机制安装经批准的公共签发者证书。Docker 的 CA 指南涵盖主机和容器存储，但 CentOS 的路径并不是适用于 Debian 或 Windows 的可移植说明。向生成的包追加内容可能被更新撤销；Java 应用或其他拥有自己 CA 配置的客户端可能完全忽略操作系统的包。
要让应用获得持久的信任，应把更改纳入经批准的镜像或应用配置流程。对某个运行中容器所做的交互式编辑不会出现在由该镜像创建的下一个容器中。
只通过经授权的渠道分发所需的公共信任证书。绝不要把 CA 私钥放进镜像，也不要把陌生公共代理的根证书安装请求当作普通设置。配置好目标存储后，请保持主机名和链验证处于启用状态。