验证 Docker 映像签名上的 Verify Bridge

对 IBM® Container Registry 上的 icr.io/isv-saas/verify-bridge:latest 映像进行了签名，当将该映像拉下到您的机器时，可以使用 Skopeo 或 Podman来验证此签名。

准备工作

你需要公钥。

关于此任务

Red Hat® OpenShift®， Skopeo和 Podman 使用的容器运行时是一个 policy.json 文件，用于描述签名验证策略。创建策略并将其应用于容器工具 (Red Hat OpenShift， Skopeo或 Podman) 时，策略会通过验证签名来强制实施映像完整性。它还可以验证简单签名有效内容的其他部分。

过程

登录到目标系统。
创建或更新 /etc/containers/policy.json 或类似 ~/policy.json的文件。
请参阅图像策略 Red Hat OpenShift 文档： podman-image-trust。如果您有多个来自旧平台和新平台的公用密钥，或者在证书更新后，可以并置两个 gpg 公用密钥，并在 <public key>上使用该文件。
例如，
```
{
    "default": [
        {
            "type":"reject"
        }
    ],
    "transports":
        {
            "docker":
                {
                    "": [{ "type": "signedBy", "keyType": "GPGKeys", "keyPath": "<path to public keyfile>"}]
                }
        }
}
```
通过使用下列其中一个命令，指定验证 Docker 映像签名上的 Verify Bridge 的方法。
- 要使用 Skopeo 来验证签名以复制到本地临时目录，请使用以下命令。
```
skopeo copy --policy ~/policy.json docker://icr.io/isv-saas/verify-bridge:latest dir:./temp
```
- 要通过使用 Skopeo 通过 --policy 选项复制到本地临时目录来验证签名，请使用以下命令。
```
skopeo copy --policy ~/policy.json docker://icr.io/isv-saas/verify-bridge:latest dir:./temp
```
- 要使用 Podman在拉取期间验证签名，请使用以下命令。
```
podman pull --signature-policy ~/policy.json icr.io/isv-saas/verify-bridge:latest
```