最近在做Docker相關的東西，發現只要一pull鏡像，就出現如下的ERROR
x509: certificate signed by unknown authority.
調查後發現，是公司IT把https證書換成了公司的證書（目的大家自己猜）。
解決思路： 把替換後的證書直接用openssl拉下來，然後加入到系統（我是Ubuntu）系統證書中，然後使用update-ca-certificates更新，最後重啓docker服務，成功！！
方式1：
$ echo -n | openssl s_client -showcerts -connect dseasb33srnrn.cloudfront.net:443 2>/dev/null | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' > /usr/local/share/ca-certificates/cloudfront.crt
上面的dseasb33srnrn.cloudfront.net是docker提示證書錯誤的網址。把這個網址替換成你的網站，同時把改下你要生成的證書名字就OK。
然後重啓docker deamon
$ sudo service docker restart
方式2：
$ echo -n | openssl s_client -showcerts -connect dseasb33srnrn.cloudfront.net:443 2>/dev/null | sed -ne '/-BEGIN CERTIFICATE-/,/-END CERTIFICATE-/p' >> /etc/ssl/certs/ca-certificates.crt
$ update-ca-certificates
Updating certificates in /etc/ssl/certs... 1 added, 0 removed; done.
Running hooks in /etc/ca-certificates/update.d....
Adding debian:cloudfront.pem
done.
done.
同時替換上面的dseasb33srnrn.cloudfront.net就好了.
然後重啓docker
$ sudo service docker restart
結語：
我上面的方式之所以可以搞定大多數由於公司IT部門替換https證書造成的錯誤，是因爲很多程序是使用系統默認的證書（路徑）。
對於一些特殊的程序，比如python pip,不使用系統默認的證書，而是使用自己的路徑，可以強制它使用方式2生成的證書