7.4. サプライチェーンセキュリティーのためのコンテナー署名を検証する

手順

1. 関連する公開鍵をダウンロードし、次のコマンドを実行して /etc/containers/RedHat_ReleaseKey3.pub として保存します。

   $ sudo curl -sL https://access.redhat.com/security/data/63405576.txt -o /etc/containers/RedHat_ReleaseKey3.pub

2. Red Hat ソースからのイメージを検証するようにコンテナーランタイムを設定するには、/etc/containers/policy.json ファイルを編集して次の設定を追加します。

   ポリシー JSON ファイルの例

   {
       "default": [
           {
               "type": "reject"
           }
       ],
       "transports": {
           "docker": {
               "quay.io/openshift-release-dev": [{
                   "type": "sigstoreSigned",
                   "keyPath": "/etc/containers/RedHat_ReleaseKey3.pub",
                   "signedIdentity": {
                       "type": "matchRepoDigestOrExact"
                   }
               }],
               "registry.redhat.io": [{
                   "type": "sigstoreSigned",
                   "keyPath": "/etc/containers/RedHat_ReleaseKey3.pub",
                   "signedIdentity": {
                       "type": "matchRepoDigestOrExact"
                   }
               }]
           }
       }
   }

3. /etc/containers/registries.d/registry.redhat.io.yaml` ファイルを編集して次の設定を追加し、イメージをローカルストレージにプルするときに sigstore アタッチメントを使用するように Red Hat リモートレジストリーを設定します。

   $ cat /etc/containers/registries.d/registry.redhat.io.yaml
   docker:
        registry.redhat.io:
            use-sigstore-attachments: true

4. /etc/containers/registries.d/registry.quay.io.yaml ファイルを編集して次の設定を追加し、イメージをローカルストレージにプルするときに sigstore アタッチメントを使用するように Red Hat リモートレジストリーを設定します。

   $ cat /etc/containers/registries.d/quay.io.yaml
   docker:
     quay.io/openshift-release-dev:
       use-sigstore-attachments: true

5. ユースケースでこれらのイメージソースの署名検証が必要な場合は、ユーザー固有のレジストリー設定ファイルを作成します。ここで示した例を基にして、独自の要件を追加できます。

次のステップ

1. ミラーレジストリーを使用している場合は、sigstore アタッチメントを有効にします。
2. それ以外の場合は、ローカルコンテナーストレージの消去に進みます。