1.3. Private Automation Hub のコレクションおよびコンテンツ署名

手順

1. ファイル名のみを受け入れる署名スクリプトを作成します。

   注記

   このスクリプトは署名サービスとして機能し、PULP_SIGNING_KEY_FINGERPRINT 環境変数で指定された鍵を使用して、そのファイルの ASCII アーマー形式の gpg デタッチ署名を生成する必要があります。

   スクリプトは、次の形式で JSON 構造を出力します。

   {"file": "filename", "signature": "filename.asc"}

   すべてのファイル名は、現在の作業ディレクトリー内の相対パスです。ファイル名は、デタッチ署名でも同じにする必要があります。

   以下に例を示します。

   次のスクリプトはコンテンツの署名を生成します。

   #!/usr/bin/env bash
   
   FILE_PATH=$1
   SIGNATURE_PATH="$1.asc"
   
   ADMIN_ID="$PULP_SIGNING_KEY_FINGERPRINT"
   PASSWORD="password"
   
   # Create a detached signature
   gpg --quiet --batch --pinentry-mode loopback --yes --passphrase \
      $PASSWORD --homedir ~/.gnupg/ --detach-sign --default-key $ADMIN_ID \
      --armor --output $SIGNATURE_PATH $FILE_PATH
   
   # Check the exit status
   STATUS=$?
   if [ $STATUS -eq 0 ]; then
      echo {\"file\": \"$FILE_PATH\", \"signature\": \"$SIGNATURE_PATH\"}
   else
      exit $STATUS
   fi

   署名を有効にして Private Automation Hub を Ansible Automation Platform クラスターにデプロイすると、新しい UI が追加されたことがコレクションに表示されます。

2. automationhub_* で始まるオプションについては、Ansible Automation Platform インストーラーのインベントリーファイルを確認してください。

   [all:vars]
   .
   .
   .
   automationhub_create_default_collection_signing_service = True
   automationhub_auto_sign_collections = True
   automationhub_require_content_approval = True
   automationhub_collection_signing_service_key = /abs/path/to/galaxy_signing_service.gpg
   automationhub_collection_signing_service_script = /abs/path/to/collection_signing.sh

   2 つの新しいキー (automationhub_auto_sign_collections および automationhub_require_content_approval) は、コレクションが Private Automation Hub にアップロードされた後に署名および承認される必要があることを示します。

手順

1. Ansible Automation Platform にログインします。
2. ナビゲーションパネルから、Automation Content Collection Approvals を選択します。Approval ダッシュボードが開き、コレクションのリストが表示されます。
3. 承認するコレクションの横にあるサムズアップアイコンをクリックします。表示されるモーダルで、コレクションを承認することを確認するチェックボックスをオンにし、Approve and sign collections をクリックします。

手順

1. Ansible Automation Platform にログインします。

2. ナビゲーションパネルから、Automation Content Signature Keys を選択します。署名キーダッシュボードには、複数のキー (コレクションとコンテナーイメージ) のリストが表示されます。

   • コレクションを確認するには、collections- で始まるキーをダウンロードします。
   • コンテナーイメージを確認するには、container- で始まるキーをダウンロードします。

3. 次のいずれかの方法を選択して、公開鍵をダウンロードします。

   • Download Key アイコンをクリックして、公開鍵をダウンロードします。
   • コピーする公開鍵の横にある Copy to clipboard をクリックします。

手順

1. ansible-galaxy で使用するデフォルト以外のキーリングに公開鍵をインポートするには、以下のコマンドを実行します。

   gpg --import --no-default-keyring --keyring ~/.ansible/pubring.kbx my-public-key.asc

   注記

   Automation Hub が提供する署名のほかに、署名ソースを要件ファイルとコマンドラインで指定することもできます。署名ソースは URI である必要があります。

2. 追加の署名を使用して CLI で指定されたコレクション名を確認するには、次のコマンドを実行します。

   ansible-galaxy collection install namespace.collection
   --signature https://examplehost.com/detached_signature.asc
   --signature file:///path/to/local/detached_signature.asc --keyring ~/.ansible/pubring.kbx

   このオプションを複数回使用して、複数の署名を指定できます。

3. 以下の例のように、要件ファイルのコレクションに、コレクションの署名キーの後に追加の署名ソースが表示されていることを確認します。

   # requirements.yml
   collections:
     - name: ns.coll
       version: 1.0.0
       signatures:
         - https://examplehost.com/detached_signature.asc
         - file:///path/to/local/detached_signature.asc
   
   ansible-galaxy collection verify -r requirements.yml --keyring ~/.ansible/pubring.kbx

   Automation Hub からコレクションをインストールすると、サーバーが提供する署名はインストールされたコレクションと共に保存され、コレクションの信頼性を検証します。

4. (オプション) Ansible Galaxy サーバーにクエリーを実行せずにコレクションの内部整合性を再度確認する必要がある場合は、--offline オプションを使用して、以前に使用したのと同じコマンドを実行します。