验证 Docker 镜像签名中的Verify Bridge

PodmanIBM® 上的图像 icr.io/isv-saas/verify-bridge:latest Container Registry 已签名，当您将该图像下载到本地机器后，可通过 Skopeo 或验证该签名。

准备工作

你需要公钥。

关于此任务

Red Hat® OpenShift®、 Skopeo 和 Podman 所使用的容器运行时是一个 policy.json 描述签名验证策略的文件。当策略创建并应用于容器工具（ Red Hat OpenShift、 Skopeo 或 Podman ）时，该策略会通过验证签名来确保镜像的完整性。它还可以验证简单签名负载的其他部分。

过程

登录目标系统。
创建或更新一个 /etc/containers/policy.json 或类似的文件，例如 ~/policy.json.
请参阅 Red Hat OpenShift 上的镜像策略文档： podman-image-trust。如果您拥有来自旧平台和新平台的多个公钥，或者在证书续期后，您可以将这两个 gpg 公钥合并，并在 <public key>. 中使用该文件。
例如，
```
{
    "default": [
        {
            "type":"reject"
        }
    ],
    "transports":
        {
            "docker":
                {
                    "": [{ "type": "signedBy", "keyType": "GPGKeys", "keyPath": "<path to public keyfile>"}]
                }
        }
}
```
请使用以下任一命令，指定验证“ Docker ”映像签名的“Verify Bridge”的方法。
- 要使用 Skopeo 将签名复制到本地临时目录以进行验证，请使用以下命令。
```
skopeo copy --policy ~/policy.json docker://icr.io/isv-saas/verify-bridge:latest dir:./temp
```
- 若要使用 Skopeo 命令并配合选项 --policy 将签名复制到本地临时目录以进行验证，请执行以下命令。
```
skopeo copy --policy ~/policy.json docker://icr.io/isv-saas/verify-bridge:latest dir:./temp
```
- Podman要在拉取过程中使用验证签名，请执行以下命令。
```
podman pull --signature-policy ~/policy.json icr.io/isv-saas/verify-bridge:latest
```