CRL 端点不适用于 Alpine 容器 AKS

Question

我的证书没有 OSCP 响应程序 URL，并且配置了 3 个 CRL 端点。 第一个 url 只能在我的公司网络内使用，第二个和第三个可以从外部访问。

问题是当我在 .net core 3.1 服务上对我的证书执行 chain.Build()，在 AKS 集群中的 Alpine 基础映像上执行 运行 时，它 returns false，链元素的状态为“无法获取证书 CRL”。因为，我的 pods 无论如何都不在 corpNet 上，我希望 chain.Build() 以某种方式在端点上进行循环，但我不确定它实际上是如何工作的。

有没有办法我们可以访问其他端点并获得 CRLS？

Answer 1

不，X509Chain 的 Linux 实现仅尝试 CRL 分发点的第一个 HTTP 端点。

https://github.com/dotnet/runtime/blob/a24db1ceb73e436eab32da43ae069832a04ce3dd/src/libraries/System.Security.Cryptography.X509Certificates/src/Internal/Cryptography/Pal.Unix/CrlCache.cs#L48-L68