Docker 上のVerify Bridgeのイメージ署名の検証

オンラインで編集

PodmanIBM® Container Registry に掲載されている画像には icr.io/isv-saas/verify-bridge:latest 署名が付いており、この画像を自分のマシンにダウンロードすると、またはを使用して Skopeo この署名を検証することができます。

始める前に

公開鍵が必要です。

このタスクについて

Red Hat® OpenShift®、 Skopeo、および Podman で使用されるコンテナランタイムは、署名検証ポリシーを記述したファイルです policy.json 。ポリシーが作成され、コンテナツール（ Red Hat OpenShift、 Skopeo、または Podman ）に適用されると、そのポリシーは署名を検証することでイメージの完全性を確保します。また、単純な署名ペイロードの他の部分についても検証を行うことができます。

手順

対象システムにログインしてください。
~/policy.jsonまたは、. などのファイルを作成または更新します /etc/containers/policy.json 。
イメージポリシーについては、 Red Hat OpenShift のドキュメント「 podman-image-trust 」を参照してください。 <public key>古いプラットフォームと新しいプラットフォームの公開鍵が複数ある場合、または証明書の更新後に公開鍵が複数ある場合は、両 gpg 方の公開鍵を結合して、そのファイルを.で使用できます。
例えば、以下のとおりです。
```
{
    "default": [
        {
            "type":"reject"
        }
    ],
    "transports":
        {
            "docker":
                {
                    "": [{ "type": "signedBy", "keyType": "GPGKeys", "keyPath": "<path to public keyfile>"}]
                }
        }
}
```
以下のコマンドのいずれかを使用して、 Docker イメージの署名に対するVerify Bridgeの検証方法を指定します。
- をローカルの仮保存ディレクトリにコピーして Skopeo 署名を検証するには、次のコマンドを実行してください。
```
skopeo copy --policy ~/policy.json docker://icr.io/isv-saas/verify-bridge:latest dir:./temp
```
- オプション --policy を使用して Skopeo 署名を検証し、ローカルの仮保存ディレクトリにコピーするには、次のコマンドを実行してください。
```
skopeo copy --policy ~/policy.json docker://icr.io/isv-saas/verify-bridge:latest dir:./temp
```
- Podmanプル操作中に署名を検証するには、次のコマンドを実行してください。
```
podman pull --signature-policy ~/policy.json icr.io/isv-saas/verify-bridge:latest
```