CRL 端点在高山容器 AKS 中不起作用

Question

我有一个没有 OSCP 响应者 URL 的证书，并且它配置了 3 个 CRL 端点。 第一个 url 只能在我的公司网络内使用，第二个和第三个可以从外部访问。

问题是当我在 .net 核心 3.1 服务上的证书上执行 chain.Build() 时，它在 AKS 集群中的 Alpine 基础映像上运行，它返回 false 并且链元素的状态为“无法获取证书CRL”。因为，无论如何，我的 pod 都不在 corpNet 上，我希望 chain.Build() 以某种方式在端点上进行循环，但我不确定它实际上是如何工作的。

有没有办法我们可以访问其他端点并获取 CRLS？

Answer 1

不，X509Chain 的 Linux 实现仅尝试 CRL 分发点的第一个 HTTP 端点。

https://github.com/dotnet/runtime/blob/a24db1ceb73e436eab32da43ae069832a04ce3dd/src/libraries/System.Security.Cryptography.X509Certificates/src/Internal/Cryptography/Pal.Unix/CrlCache.cs#L48-L68