アイルランドのZimaOSユーザーから、設定を消去しようとしても、Dockerイメージの取得先がghcr.1panel.liveやdaocloud.ioなどの地域プロキシドメインになることがあると報告されました。該当する取得処理は、想定される公式レジストリ経由で完了せず、TLS証明書エラーや地域アクセスエラーで失敗していました。
当初の返信では、これらのプロキシは強制ミラーであると説明されていました。しかし後にZimaOSチームが重要な訂正を加え、ZimaOSはまずDocker Hubを試し、その取得に失敗した場合にのみプロキシを使用すると説明しました。したがって、このスレッドが記録しているのはフォールバック経路の問題と、「公式レジストリのみ」制御を求める要望であり、すべてのイメージ取得が最初から地域プロキシへ送られていることの証明ではありません。
アイルランドのユーザーが経験したこと
lucslavは、アイルランドでZimaOSを使用中、Dockerイメージのインストールに繰り返し失敗したと報告しました。この挙動はグラフィカルインターフェースとターミナルからの取得の両方で発生し、ミラー設定を手動で消去しても、その変更が永続化されないようでした。
スレッドに貼り付けられた最も具体的なエラーは次のとおりです。
tls: failed to verify certificate: x509: certificate signed by unknown authority失敗したリクエストには、想定される公式イメージレジストリだけでなく、プロキシまたはミラーのドメインが含まれていました。ユーザーの地域では公式レジストリへの直接接続のほうが安定していたため、lucslavはこれらの地域経路を恒久的に無効化する方法を求めました。
後に報告された2種類の追加エラー
その後の返信で、lucslavは別の種類のメッセージも2つ見たと述べました。1つは、サービスが中国本土でのみ利用可能だというものでした。もう1つは、証明書の有効期限が切れている、またはまだ有効ではないというものでした。
これらのメッセージにより、ユーザーはフォールバック先がすべての地域に適しているわけではないと考えるようになりました。地域制限の応答は、想定された地域外でのサービス利用を妨げます。一方、期限切れまたは未有効の証明書は、TLS接続を信頼できないものにします。
議論を通じて求められていた製品変更はシンプルでした。地域ミラーを無効にし、GitHub Container RegistryやDocker Hubなどの公式レジストリへ直接接続する設定を追加することです。
gelbuildingによる失敗の解釈
gelbuildingは、報告された挙動は単なるインターネット接続の切断には見えないと同意しました。Dockerのリクエストが、証明書を検証できないレジストリミラーに到達し、その結果Dockerが取得を停止したという解釈でした。
lucslavが中国本土限定のメッセージと証明書の有効性に関するメッセージを追加すると、gelbuildingはエラーの原因をエンドポイント自体にあると考えました。この見方では、ミラーは欧州のユーザーにとって信頼性を高めるどころか、インストールを完全に失敗させる要因になっていました。
提案されたインターフェース上の解決策は、公式レジストリのみを使用といったオプションでした。スレッド内では、そのようなオプションも、確認済みの設定手順も提示されていません。そのため、この返信は利用可能な手順ではなく、製品への要望として理解する必要があります。
米国からも同様の失敗が報告された
その後、connorbが米国から議論に加わり、Dockerイメージをインストールしようとした際に同様のエラーが発生したと報告しました。これにより、このスレッドで説明されている問題は、アイルランドの元のユーザーの地域に限られないことが示されました。
connorbは回避策があるか尋ねました。lucslavは見つけられていないと答え、可能であれば代替イメージを探すよう提案しました。その代替イメージが別のレジストリ、別のリポジトリ所有者、または別のアプリケーションパッケージを使用するかどうかは、議論では明らかになりませんでした。
ZimaOSチームが取得順序を明確化
スレッドの終盤、raller1028が最も重要な挙動の説明を加えました。ZimaOSがイメージを取得する際は、まずDocker Hub経由で取得を試み、その元の取得に失敗した場合にのみプロキシを試すというものです。
この説明により、先の報告の解釈が変わります。コミュニティのメンバーはプロキシ関連の失敗を経験しましたが、チームの回答によれば、プロキシはすべての取得で最初に使われる宛先ではなく、フォールバック経路でした。
この説明からは、元のDocker Hubへのリクエストがなぜ失敗してからプロキシへ移行したのかという疑問も残ります。スレッドには、最初の失敗が接続性、認証、レート制限、イメージの可用性、DNS、その他の要因のどれによるものかを特定するログや追加テストはありません。
議論で解決されなかったこと
プロキシのフォールバックを無効にする、確認済みの恒久的な方法を提示した参加者はいませんでした。lucslavは設定を手動で消去しても保持されなかったと報告しましたが、対象となったファイル、設定、サービスの正確な内容は投稿に含まれていませんでした。
また、すべてのケースで証明書自体が期限切れだったことも確認されていません。議論されたメッセージは、認証局不明の証明書エラー、期限切れまたは未有効の証明書、そして中国本土でのみ利用可能という制限の3種類です。これらは異なるプロキシエンドポイントや、フォールバック処理の異なる段階に関係している可能性があります。
最後に、この議論ではZimaOSの最終的なリリース、設定、回避策は投稿されませんでした。具体的な成果は、地域ミラーが不要または利用できない地域向けに、直接接続のみを許可する永続的なポリシーを提供してほしいという製品要望でした。
同じ問題を報告する際に残しておくべき情報
元の投稿が有用だったのは、ユーザーの地域、プロキシのホスト名、UIとターミナルの両方が影響を受けた事実、そして正確なx509メッセージが含まれていたためです。その後の返信では、さらに2つの目に見えるエラー条件と、別の国からの同様の報告が追加されました。
そのため、追加報告では同じ種類の証拠を残すとよいでしょう。具体的には、ZimaOSのバージョン、国または地域、元のイメージ参照、UIとターミナルのどちらから取得を開始したか、最初に発生した公式レジストリのエラー、フォールバック先のホスト名、そして証明書または地域制限に関するメッセージ全文です。
これらの情報があれば、ZimaOSチームは公式レジストリからの取得失敗と、プロキシへのフォールバック失敗を区別できます。通常のインストール手順については、既存のZimaOS Dockerアプリケーションガイドを利用できます。
コミュニティの議論に関するFAQ
地域ミラーが最初の取得経路だったのですか？
ZimaOSチームの回答によれば、違います。ZimaOSはまずDocker Hub経由でイメージの取得を試み、その取得に失敗した場合にのみプロキシを試します。
実際に報告されたエラーはどれですか？
スレッドには、認証局不明の証明書エラー、期限切れまたは未有効の証明書に関する記憶に基づくメッセージ、そして中国本土でのみ利用可能というメッセージが含まれています。
プロキシを無効にするスイッチは議論で提供されましたか？
いいえ。「公式レジストリのみを使用」スイッチはコミュニティメンバーからの機能要望であり、スレッド内で既存の設定として実証されたものではありません。
確認済みの回避策はありましたか？
恒久的な回避策は確認されていません。ある参加者は代替イメージを探すよう提案し、チームは公式レジストリを先に試し、プロキシを後に試す取得順序を説明しました。
この問題は欧州に限られていましたか？
いいえ。元の報告はアイルランドからでしたが、その後、別のユーザーが米国から同様のDockerイメージインストールエラーを報告しました。
