Docker容器插入/更新自签名证书信任报错排查及到期更新咨询

• 核心错误：docker cp 命令无法直接修改只读的Docker镜像，你传入<镜像ID>的操作完全无效，重启容器后所有临时修改都会重置，你需要将证书复制到运行中的容器ID，如果要固化到镜像需要执行docker commit将修改后的容器保存为新镜像。
• 证书权限未配置：Linux系统下/usr/local/share/ca-certificates/目录下的证书文件权限需要设置为644，否则update-ca-certificates无法读取，你需要补充执行 chmod 644 /usr/local/share/ca-certificates/<filename>.crt 之后再执行更新证书命令。
• 证书格式校验：从pfx导出的crt必须是PEM格式的根CA证书，不能是DER格式也不能包含私钥，你可以在容器内执行 openssl x509 -in /usr/local/share/ca-certificates/<filename>.crt -text 验证格式，命令无报错才是合法格式。
• 证书安装范围错误：你将pfx安装到Windows宿主机的受信任根目录和Linux容器无关，容器的证书信任体系完全独立；如果是在Windows PowerShell中执行curl报schannel错误，需要确认你安装的是根CA证书而非服务端证书，且安装路径为「本地计算机\受信任的根证书颁发机构」，而非当前用户目录。
• 证书更新结果验证：执行update-ca-certificates后注意输出，正常会提示1 added, 0 removed; done.类内容，无新增提示说明证书未被识别。

• 构建层更新：直接替换Dockerfile中引用的crt证书文件，重新构建镜像后发布容器，适合版本迭代规律的业务，兼容性最高。
• 运行时挂载更新：启动容器时通过卷挂载将宿主机的证书文件映射到容器证书目录，示例启动命令：docker run -v /宿主机/证书路径/xxx.crt:/usr/local/share/ca-certificates/xxx.crt 你的镜像名，同时在启动脚本中先执行update-ca-certificates再启动业务进程，证书到期后替换宿主机证书、重启容器即可，无需修改镜像。
• 编排场景更新：如果使用K8s、Docker Swarm等编排工具，可将证书存储为Secret/ConfigMap，挂载到容器证书目录，证书到期后直接更新Secret，滚动重启容器即可完成批量更新。
• 自动更新：针对内部CA颁发的证书，可在容器内配置定时任务，定期从内部CA服务器拉取最新根证书，自动执行update-ca-certificates后给业务进程发reload信号实现热更新，无需重启容器。

内容的提问来源于stack exchange，提问作者Joseph Y