Docker イメージ・シグニチャーでの Verify Bridge の検証

オンラインで編集

IBM® Container Registry 上の icr.io/isv-saas/verify-bridge:latest イメージは署名されます。イメージがマシンにプルされると、 Skopeo または Podmanを使用してこの署名を検証できます。

始める前に

公開鍵が必要です。

このタスクについて

Red Hat® OpenShift®、 Skopeo、および Podman が使用するコンテナー・ランタイムは、署名検証ポリシーを記述する policy.json ファイルです。ポリシーが作成され、コンテナー・ツール (Red Hat OpenShift、 Skopeo、または Podman) に適用されると、ポリシーは署名を検証することによってイメージの整合性を強制します。また、単純な署名ペイロードの他の部分を検証することもできます。

手順

ターゲット・システムにログインします。
/etc/containers/policy.json またはファイル ( ~/policy.jsonなど) を作成または更新します。
イメージポリシーに関するドキュメント Red Hat OpenShift を参照してください: podman-image-trust。古いプラットフォームと新しいプラットフォームの公開鍵が複数ある場合、または証明書の更新後に、両方の gpg 公開鍵を連結して、そのファイルを <public key>で使用することができます。
例えば、以下のとおりです。
```
{
    "default": [
        {
            "type":"reject"
        }
    ],
    "transports":
        {
            "docker":
                {
                    "": [{ "type": "signedBy", "keyType": "GPGKeys", "keyPath": "<path to public keyfile>"}]
                }
        }
}
```
以下のいずれかのコマンドを使用して、Verify Bridge on Docker イメージ・シグニチャーを検証する方法を指定します。
- Skopeo を使用してローカル一時ディレクトリーにコピーすることによって署名を検証するには、以下のコマンドを使用します。
```
skopeo copy --policy ~/policy.json docker://icr.io/isv-saas/verify-bridge:latest dir:./temp
```
- Skopeo を使用して --policy オプションでローカル一時ディレクトリーにコピーすることによって署名を検証するには、以下のコマンドを使用します。
```
skopeo copy --policy ~/policy.json docker://icr.io/isv-saas/verify-bridge:latest dir:./temp
```
- Podmanを使用してプル中に署名を検証するには、以下のコマンドを使用します。
```
podman pull --signature-policy ~/policy.json icr.io/isv-saas/verify-bridge:latest
```