7.4. サプライチェーンセキュリティーのコンテナー署名の検証

手順

1. 次のコマンドを実行して、関連する公開鍵をダウンロードし、/etc/containers/RedHat_ReleaseKey3.pub として保存します。

   $ sudo curl -sL https://access.redhat.com/security/data/63405576.txt -o /etc/containers/RedHat_ReleaseKey3.pub

   Copy to Clipboard Toggle word wrap

2. Red Hat ソースからイメージを検証するようにコンテナーランタイムを設定するには、/etc/containers/policy.json ファイルを編集して以下の設定を含めます。

   ポリシー JSON ファイルの例

   {
       "default": [
           {
               "type": "reject"
           }
       ],
       "transports": {
           "docker": {
               "quay.io/openshift-release-dev": [{
                   "type": "sigstoreSigned",
                   "keyPath": "/etc/containers/RedHat_ReleaseKey3.pub",
                   "signedIdentity": {
                       "type": "matchRepoDigestOrExact"
                   }
               }],
               "registry.redhat.io": [{
                   "type": "sigstoreSigned",
                   "keyPath": "/etc/containers/RedHat_ReleaseKey3.pub",
                   "signedIdentity": {
                       "type": "matchRepoDigestOrExact"
                   }
               }]
           }
       }
   }

   Copy to Clipboard Toggle word wrap

3. /etc/containers/registries.d/registry.redhat.io.yaml' ファイルを編集して、以下の設定を含めるように /etc/containers/registries.d/registry.redhat.io.yaml' ファイルを編集して、イメージをローカルストレージにプルする際に sigstore 添付を使用するように Red Hat リモートレジストリーを設定します。

   $ cat /etc/containers/registries.d/registry.redhat.io.yaml
   docker:
        registry.redhat.io:
            use-sigstore-attachments: true

   Copy to Clipboard Toggle word wrap

4. /etc/containers/registries.d/registry.quay.io.yaml ファイルを編集して、以下の設定を含めるように /etc/containers/registries.d/registry.quay.io.yaml ファイルを編集して、イメージをローカルストレージにプルする際に sigstore 添付を使用するように Red Hat リモートレジストリーを設定します。

   $ cat /etc/containers/registries.d/quay.io.yaml
   docker:
     quay.io/openshift-release-dev:
       use-sigstore-attachments: true

   Copy to Clipboard Toggle word wrap
5. ユースケースで、それらのイメージソースの署名の検証が必要な場合は、ユーザー固有のレジストリー設定ファイルを作成します。この例を使用して、開始して独自の要件を追加できます。

次のステップ

1. ミラーレジストリーを使用している場合は、sigstore 添付を有効にします。
2. それ以外の場合は、ローカルコンテナーのストレージ消去に進みます。