linux - 由于 ZScaler 和证书问题无法使用 docker

Question

我在 VMware Player 中运行了 VMware Photon 操作系统。这将用作运行 Docker 容器的主机操作系统。

但是，由于我使用的是 ZScaler，因此在运行访问外部资源的命令时遇到了问题。例如。 docker pull python 给我以下输出(我添加了一些换行符以使其更具可读性):

error pulling image configuration: 
Get https://dseasb33srnrn.cloudfront.net/registry-v2/docker/registry/v2/blobs/sha256/a0/a0d32d529a0a6728f808050fd2baf9c12e24c852e5b0967ad245c006c3eea2ed/data
?Expires=1493287220
&Signature=gQ60zfNavWYavBzKK12qbqwfOH2ReXMVbWlS39oKNg0xQi-DZM68zPi22xfDl-8W56tQmz5WL5j8L39tjWkLJRNmKHwvwjsxaSNOkPMYQmhppIRD0OuVwfwHr-
1jvnk6mDZM7fCrChLCrF8Ds-2j-dq1XqhiNe5Sn8DYjFTpVWM_
&Key-Pair-Id=APKAJECH5M7VWIS5YZ6Q: 
x509: certificate signed by unknown authority

我尝试从我的 Windows 工作站中提取 ZScaler 的 CA 根证书(PEM 格式)，并将它们附加到 /etc/pki/tls/certs/ca- bundle.crt。但即使在重新启动 Docker 后，这也没有解决问题。

我已经阅读了很多帖子，大多数都引用了我的系统上不存在的命令 update-ca-trust(即使 ca-certificates 包是安装)。

我不知道如何前进。 AFAIK，有两种选择。要么:

• 添加 ZScaler 证书，使 SSL 连接受信任。
• 允许与 Docker hub 的不安全连接(但即便如此它可能仍会提示，因为证书不受信任)。

顺便说一句，后者有效，例如使用 -k 选项执行 curl 允许我访问任何 https 资源。

Answer 1

问题是 zscaler 在您的组织中充当中间人进行 ssl 检查(请参阅 https://support.zscaler.com/hc/en-us/articles/205059995-How-does-Zscaler-protect-SSL-traffic-)。

既然您已经尝试将证书放入 docker，我想您已经熟悉了 https://stackoverflow.com/a/36454369/1443505 中描述的步骤。 .对于 zscaler 场景，这里的答案几乎是正确的。需要注意的一点是，因为 zscaler 拦截了 CA 树。我们需要在链上添加所有证书。

目前，zscaler 背后的证书链如下所示

我们需要将它们一一导出并按照https://stackoverflow.com/a/36454369/1443505中的说明进行操作。对于他们每个人。