第8章 コンテナーイメージへの署名

手順

1. sigstore の公開鍵または秘密鍵のペアを生成します。

   $ skopeo generate-sigstore-key --output-prefix myKey.private

2. 次の内容を /etc/containers/registries.d/default.yaml ファイルに追加します。

   docker:
       <registry>:
           use-sigstore-attachments: true

   use-sigstore-attachments オプションを設定することで、Podman と Skopeo はコンテナーの sigstore 署名をイメージと共に読み書きし、署名されたイメージと同じリポジトリーに保存できます。

   /etc/containers/registries.d/default.yaml ファイルで、システム全体のレジストリー設定を編集できます。/etc/containers/registries.d ディレクトリーにある任意の YAML ファイルのレジストリーまたはリポジトリー設定セクションを編集することもできます。

   すべての YAML ファイルが読み取られ、ファイル名は任意です。単一のスコープ (default-docker、registry、または namespace) は、/etc/containers/ registries.d/ディレクトリー内の 1 つのファイルにのみ存在できます。

3. カレントディレクトリーにある Containerfile を使用して、コンテナーイメージをビルドします。

   $ podman build -t <registry>/<namespace>/<image>

4. イメージに署名し、レジストリーにプッシュします。

   $ podman push --sign-by-sigstore-private-key ./myKey.private <registry>/<namespace>/<image>

   podman push コマンドは、<registry>/<namespace>/<image> ローカルイメージを <registry>/<namespace>/<image> としてリモートレジストリーにプッシュします。--sign-by-sigstore-private-key オプションは、myKey.private 秘密鍵を使用して <registry>/<namespace>/<image> イメージに sigstore 署名を追加します。イメージと sigstore 署名がリモートレジストリーにアップロードされます。

   注記

   既存のイメージをコンテナーレジストリー間で移動するときに署名する必要がある場合は、skopeo copy コマンドを使用できます。

   詳細は、お使いのシステムの podman-push(1) および podman-build(1) の man ページを参照してください。