3.5. policy.json ファイルを使用したコンテナー署名の検証

Red Hat Enterprise Linux (RHEL) では、コンテナーイメージの署名を必須とし、検証するように設定できます。これにより、取得したイメージが信頼できる情報源から入手されたものであり、改変されていないことが保証されます。policy.json ファイルを変更することで、この信頼ポリシーを管理できます。これにより、Podman、Buildah、Skopeo などのツールが有効なコンテナーイメージ署名を強制的に使用するようになります。

システム全体の設定を行うには、/etc/containers/policy.json ファイルを変更します。ルート権限を持たないユーザーの場合は、これらのルールを $HOME/.config/containers/policy.json ファイルに適用できます。

デフォルトルールを設定して、すべてを受け入れるようにすることもできます。ただし、docker トランスポート内で、特定のスコープ付きネームスペース (localhost:5003/simple-sq-signed-centos) に 制限して、有効な署名を厳密に要求することができます。以下に例を示します。

{
  "default": [
    {
      "type": "insecureAcceptAnything"
    }
  ],
  "transports": {
    "docker": {
      "localhost:5003/simple-sq-signed-centos": [
        {
          "type": "signedBy",
          "keyType": "GPGKeys",
          "keyPath": "testdata/sequoia-key.pgp"
        }
      ]
    }
  }
}