Eigene Zertifikate (CA)

Wann Du das brauchst

Viele Unternehmen nutzen interne Zertifizierungsstellen (CA) für:

• SSL-Inspektion: Firewalls entschlüsseln und verschlüsseln HTTPS-Verkehr neu
• Interne Dienste: Selbst gehostete SharePoint-, Confluence- oder andere Dienste verwenden interne Zertifikate

Ohne richtige CA-Konfiguration können SSL-Fehler auftreten bei:

• Download von Embedding-Modellen von Hugging Face
• Dateisynchronisation mit rclone
• Verbindung zu app.meingpt.com
• Zugriff auf interne Datenquellen

Schnelle Einrichtung

Schritt 1: CA-Zertifikat besorgen

Frag Dein IT-Team nach dem CA-Zertifikat Deines Unternehmens. Es sollte im PEM- oder CRT-Format vorliegen:

-----BEGIN CERTIFICATE-----
MIIFuTCCA6GgAwIBAgIU...
-----END CERTIFICATE-----

Speicher es als company-ca.pem in Deinem Projektordner.

Schritt 2: Zertifikat einbinden

Füge die Zertifikatsdatei zu Deiner docker-compose.yaml hinzu:

services:
  vault:
    image: meingpt/vault:latest
    volumes:
      - ./company-ca.pem:/certs/company-ca.pem:ro

Schritt 3: Umgebungsvariable setzen

Teil DataVault mit, dass es Dein Zertifikat nutzen soll:

services:
  vault:
    environment:
      - VAULT_CUSTOM_CA_FILE=/certs/company-ca.pem

Vollständiges Beispiel

services:
  vault:
    image: meingpt/vault:latest
    volumes:
      - ./config/app_config.yaml:/app/vault_config.yaml:ro
      - ./company-ca.pem:/certs/company-ca.pem:ro
    environment:
      - VAULT_CONFIG_FILE_PATH=/app/vault_config.yaml
      - VAULT_CUSTOM_CA_FILE=/certs/company-ca.pem

Wie es funktioniert

Wenn Du VAULT_CUSTOM_CA_FILE setzt, führt der Container automatisch folgendes aus:

1. Liest Deine CA-Zertifikatsdatei
2. Setzt SSL_CERT_FILE für Python SSL und rclone
3. Setzt REQUESTS_CA_BUNDLE für HTTP-Bibliotheken

Dadurch vertrauen alle Netzwerkverbindungen den Zertifikaten Deines Unternehmens.

Überprüfen

Prüf die Container-Logs nach dem Start:

docker logs vault-search | head -n 10

Du solltest sehen:

[entrypoint] SSL_CERT_FILE=/certs/company-ca.pem
[entrypoint] REQUESTS_CA_BUNDLE=/certs/company-ca.pem

Problembehandlung

"File not found" Warnung

[entrypoint] WARN: VAULT_CUSTOM_CA_FILE is set but file not found

Lösung: Überprüfe:

• Die Datei existiert auf Deinem Host
• Der Volume-Mount-Pfad ist korrekt
• Die Datei ist lesbar (kein Verzeichnis)

Weiterhin SSL-Fehler

Deine CA-Datei könnte unvollständig sein. Frag Dein IT-Team nach der vollständigen Zertifikatskette:

• Root-CA-Zertifikat
• Intermediate-CA-Zertifikate (falls vorhanden)

Wenn Du mehrere Zertifikate hast, kannst Du sie zu einer Bundle-Datei zusammenfügen:

cat root-ca.pem intermediate-ca.pem > company-ca.pem

Zertifikatsverzeichnis verwenden

Wenn Du mehrere CA-Dateien in einem Verzeichnis hast:

environment:
  - VAULT_CUSTOM_CA_DIR=/certs/ca-dir
volumes:
  - ./ca-certificates:/certs/ca-dir:ro

Erweitert: Manuelle Konfiguration

Für direkte Kontrolle kannst Du diese Variablen selbst setzen: