5.10. oc-mirror プラグイン v2 でのイメージ署名のミラーリングと検証

手順

1. 次のコマンドを実行して、すべてのイメージに対して署名ミラーリングを有効にします。

   $ oc mirror --remove-signatures=false

2. 次の手順を実行して、トランスポートプロトコル、レジストリー、namespace、イメージなどの特定の要素の署名ミラーリングを有効または無効にします。

   1. $HOME/.config/containers/registries.d/ または /etc/containers/registries.d/ ディレクトリーのいずれかに YAML ファイルを作成します。

   2. 次の例に示すように、use-sigstore-attachments パラメーターを指定し、制御する特定の要素で true または false に設定します。

      例: quay.io レジストリーの署名ミラーリングを無効にする

      # ...
      docker:
        quay.io:
          use-sigstore-attachments: false
      # ...

      例: すべてのレジストリーの署名ミラーリングを有効にする

      # ...
      default-docker:
        use-sigstore-attachments: true
      # ...

手順

1. すべてのイメージに対して署名検証を有効にする場合は、次のコマンドを実行します。

   $ oc mirror --secure-policy=true

2. トランスポートプロトコル、レジストリー、namespace、イメージなどの特定の要素の署名検証を有効または無効にする場合は、次の手順に従います。

   1. $HOME/.config/containers/ または /etc/containers/ ディレクトリーのいずれかに policy.json ファイルを作成します。

      注記

      ポリシー設定ファイルがデフォルトのディレクトリー外にある場合は、oc mirror コマンドで --policy フラグを使用してパスを指定できます。

      詳細は、containers-policy.json(5) を参照してください。

   2. 適切なポリシー設定を使用して、必要なスコープ (レジストリーやイメージなど) の検証ルールを定義します。各要素の下に任意のルールを指定することにより、検証要件を設定できます。

      例: 特定のイメージのみ検証を有効にし、他のすべてのイメージを拒否する

      {
        "default": [{"type": "reject"}],
        "transports": {
          "docker": {
            "hostname:5000/myns/sigstore-signed-image": [
              {
                "type": "sigstoreSigned",
                "keyPath": "/path/to/sigstore-pubkey.pub",
                "signedIdentity": {"type": "matchRepository"}
              }
            ]
          }
        }
      }