Docker 中使用 scratch 镜像构建 Go 应用镜像，容器报错：X509: Certificate Signed by Unknown Authority

最新推荐文章于 2026-06-21 13:59:09 发布
原创 最新推荐文章于 2026-06-21 13:59:09 发布 · 868 阅读 · 0
标签
#docker #golang
在使用scratch镜像构建Go应用的Docker镜像时，遇到X509: Certificate Signed by Unknown Authority错误。解决方法包括将服务器证书导入镜像或不使用HTTPS。导入证书可通过将证书文件复制到镜像指定目录，并更新代码。不推荐直接切换到HTTP，因为这将暴露网络请求信息。

 

本文首发于 Ficow Shen’s Blog，原文地址： Docker 中使用 scratch 镜像构建 Go 应用镜像，容器报错：X509: Certificate Signed by Unknown Authority。

 

内容概览

  • 前言
  • 将证书添加到镜像中
  • 不使用 HTTPS
  • 总结

 

前言

 

当使用 FROM scratch 构建基于 scratch 镜像的 Go 应用镜像时，如果没有向镜像中添加证书颁发机构（CA, Certificate Authority）发布的证书，您就有可能遭遇这个错误：X509: Certificate Signed by Unknown Authority。

其实，解决的方法比较简单，只需要将部署该容器的服务器的证书导入到镜像中即可。或者，采用下策，不使用 HTTPS。

 

将证书添加到镜像中

 

最终运行该容器的服务器的操作系统的不同，证书在文件系统中存储的位置就会有所不同。

对于多数 Linux 发行版来说，这个目录是：/etc/ssl/certs。比如，在 Ubuntu 20.04.1 LTS 中，我们可以使用 ca-certificates.crt。

使用 s

最低0.47元/天 解锁文章
用好scratch，打包docker最小镜像
xingyunyang的博客
06-30 2627
应用程序打包docker镜像时，可以使用分段构建的方式，减小最终镜像的大小。
x509: certificate signed by unknown authority (harbor)
热门推荐
xiunai78的专栏
03-19 2万+
最近在做Docker相关的东西，发现只要一pull镜像，就出现如下的ERROR x509: certificate signed by unknown authority. 调查后发现，是公司IT把https证书换成了公司的证书（目的大家自己猜）。 解决思路： 把替换后的证书直接用openssl拉下来，然后加入到系统（我是Ubuntu）系统证书中，然后使用update-ca-certificate...
x509: certificate signed by unknown authority (possibly because of “crypto/rsa: verification error“
johnhuster的专栏
10-29 7858
执行下面命令初始化k8s集群时 kubeadm init --pod-network-cidr 10.21.0.0/16 \ --image-repository registry.cn-hangzhou.aliyuncs.com/google_containers 通过 kubectl get pods -n kube-system 查看pods状态 发现coredns对应的pod状态为ContainerCreating， 通过kubectl describe pods -n kube-
x509: certificate signed by unknow n authority
ic_xcc的博客
09-08 5099
最近的go项目遇见这个问题，记录一下，问题起因是调用别的项目组接口时，接口由http更改为https，之前调试通过的调用接口推送信息方式返回的request请求报错如下：x509: certificate signed by unknow n authority 几番查找之后修改完毕，更改如下 1.引入 "crypto/tls" 包 2.定义TLSClientConfig，忽略证书校验 原写法 //发起请求 func Request(url string, header http.Header,
使用docker scratch 空镜像构建golang docker 服务
freewebsys的专栏
02-01 1万+
本文的原文连接是: http://blog.csdn.net/freewebsys/article/details/79224625 1，关于scratch 特别有意思的一个镜像，是在使用 jaeger 的时候发现的， 发现 jaeger 的镜像特别小，很好奇，于是研究了下。 scratch 是一非常特别的镜像，这个镜像很有意思的是他是一个空镜像。 也就是说大小几乎是 0 。
BuildKit原生构建Distroless容器：Kubernetes安全最小化实践
weixin_34320159的博客
06-21 181
Distroless容器是一种极致精简的镜像范式，它摒弃传统Linux发行版，仅保留应用运行所必需的二进制、动态链接库与CA证书，从根本上压缩攻击面。其核心原理是‘从零组装’而非‘删减臃肿’，依赖确定性构建工具保障可重现性。BuildKit作为CNCF毕业项目，通过声明式Bake文件、内容寻址缓存和Kubernetes原生驱动，将构建过程转化为受RBAC管控、资源可配额、日志可观测的Pod工作负载。该技术显著提升云原生环境的安全基线与交付效率，已成Istio、gRPC等主流项目的默认基础镜像策略。本文聚焦于
Docker 生态全景图：从容器运行时到服务发现的工程实践
最新发布
weixin_30326515的博客
06-21 245
Docker 不是单一命令行工具，而是由 containerd、runc、buildkit、libnetwork、overlay2 等深度耦合组件构成的分布式系统。其核心原理在于分层解耦与协同调度：runc 实现 OCI 运行时标准，containerd 管理生命周期，dockerd 提供开发者接口；网络依赖 libnetwork 抽象与 overlay/vxlan 协议栈；服务发现本质是 DNS+Raft 或外部 KV 的状态同步。这一架构带来显著技术价值——高隔离性、可复现构建、跨主机服务自动寻址与弹性
Golang x509: certificate signed by unknown authority 问题
QQ6550523的博客
07-20 5201
方法一，使用匹配的证书方法： rootCA := `*.pem 文件的内容` roots := x509.NewCertPool() ok := roots.AppendCertsFromPEM([]byte(rootCA)) if !ok { panic("failed to parse root certificate") } client = &http.Client{ Transport: &http.Transport{ TLSClientConfig:
x509: certificate signed by unknown authority；容器部署的服务建立https通信报错
qq_37106501的博客
11-30 4332
x509: certificate signed by unknown authority docker-compose部署的服务访问https报错
Error connecting to orderer.example.com:7050 due to x509: certificate signed by unknown authority
cloud 的学习时代
05-29 3615
Error connecting to orderer.example.com:7050 due to x509: certificate signed by unknown authority 前言 解决步骤 引用 前言 问题发生在测试fabric的过程中，【https://www.cnblogs.com/studyzy/p/6973334.html】根据这篇博文进行学习测试的...
golang中请求接口出错 tls: failed to verify certificate: x509: certificate signed by unknown authority
秋̶᭄ꦿ攻城狮࿆ྂ
01-14 3352
如果你遇到 tls: failed to verify certificate: x509: certificate signed by unknown authority 的错误，通常是因为 Go 的 HTTP 客户端无法验证服务器的 SSL/TLS 证书。这可能是因为证书是自签名的，或者是由一个不被信任的证书颁发机构（CA）签发的 .在开发和测试阶段，忽略证书验证可能是方便的，但在生产环境中，确保使用受信任的证书是非常重要的，以保护数据的安全性。
go之scratch时区问题
jinyidong的博客
09-17 1895
1、问题描述 在进行go开发过程中，通过go build命令打包为可执行文件后，在scratch镜像中运行，应用程序可以正常运行，但是遇到了时区不一致问题。 PS：项目build命令 CGO_ENABLED=0 GOOS=linux go build -a -installsuffix cgo -o main . 2、解决方案 问题分析 scratch中为空镜像，没有/bin/sh，因...
Docker容器技术原理解析(自定义创建镜像)
weixin_45942735的博客
02-17 768
scratch镜像 scratch镜像是一个虚拟镜像,因为它根本不存在,但它确实所有基础倾向发原始模板镜像. 我们可以从官网上去查看 Base Image 的Dockerfile 是怎么写的 点击 docker官网 搜索你想用的linux版本(这里以centos来说) 选择查询的版本号7.4.1708 网页如下图 yum源用的是阿里云的 [root@es2 ~]# yum -y inst...
golang GET 出现 x509: certificate signed by unknown authority
weixin_33747129的博客
09-26 2884
我们编写一个Go程序来尝试与这个HTTPS server建立连接并通信。 //gohttps/4-https/client1.gopackage main import ( "fmt" "io/ioutil" "net/http") func main() { resp, err := http.Get("https://localhost:8081") if ...
面向 SAP 企业应用的 Large Language Models 实战：用 SAP AI Core 统一接入 Hosted Models 与 Remote
2007 年 ~ 2025 年，深耕 SAP 技术 18 年
11-27 6646
摘要：企业软件正从规则驱动转向智能化，LLMs通过理解自然语言成为新的系统接口。SAP AI Core提供两种模型接入方式：Hosted Models由SAP托管运维，Remote Models通过SAP治理外部平台。开发者可通过foundation-models进行单模型部署，或使用orchestration的统一API调用多模型。ABAP系统应作为业务编排层，通过SAP Gateway提供稳定API，将模型输出转化为结构化操作。落地时需关注模型版本管理、输出校验和成本监控，确保在企业级边界条件下稳定运行
使用golang发送邮件，报错“x509: certificate signed by unknown authority”
****的博客
12-10 5893
问题描述 使用golang发送邮件，报错“x509: certificate signed by unknown authority”，这是由于客户端默认要对服务端传过来的数字证书进行校验，关闭即可。 解决方法 修改net/smtp包中源代码，使客户端不对证书进行校验。 将代码 config := &tls.Config{ServerName: c.serverName} 改为 conf...
【docker】打包go项目出现 x509: failed to load system roots and no roots provided
idwtwt的专栏
10-22 2108
原始dockerfile如下 FROM alpine:latest MAINTAINER xxx "xxx@gmail.com" WORKDIR $GOPATH/src/app ADD conf $GOPATH/src/app/conf ADD xxx $GOPATH/src/app/xxx RUN mkdir /lib64 && ln -s /lib/libc.musl...
go mod tidy 报错：x509: certificate signed by unknown authority
Yu的博客
08-29 1万+
这个是需要https证书报的错。 后来问了公司同事，他把公司自签证书发给我安装，并附带了一个link：https://community.spiceworks.com/how_to/1839-installing-self-signed-ca-certificate-in-windows 自签证书安装 首先安装公司的自签证书 导入证书 但是我真的好傻，没看懂第一个步骤，我以为步骤里面...
制作最小linux镜像,Docker镜像的无中生有：使用scratch制作自定义最小镜像
weixin_42469649的博客
05-13 1795
针对如何制作尽量小的镜像问题，笔者在这里介绍一种用”空镜像“制作自定义最小镜像的方案。1. 从石头缝里蹦出来的基础镜像？这里请大家思考一个问题：docker hub上的那些基础镜像，如nginx、alpine、ubuntu，都是怎么来的？事实上这些镜像都来源与一个空镜像，scratch。关于scratch的官方解释如下：This image is most useful in the contex...
x509: certificate has expired or is not yet valid的解决
vah101的专栏
06-18 2万+
wget一个https的url时报错： x509: certificate has expired or is not yet valid 很有可能是由于时间不同步导致的，比较简单的方法是： yum install -y ntpdate ntpdate ntp3.aliyun.com 之后，再次请求，问题解决 ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值