8.4. GPG 署名を使用したコンテナーイメージへの署名

手順

1. GPG キーを生成します。

   # gpg --full-gen-key

2. 公開鍵をエクスポートします。

   # gpg --output <path>/key.gpg --armor --export <username@example.com>

3. カレントディレクトリーの Containerfile を使用して、コンテナーイメージをビルドします。

   $ podman build -t <registry>/<namespace>/<image>

   <registry>、<namespace>、および <image> をコンテナーイメージ識別子に置き換えます。

4. イメージに署名し、レジストリーにプッシュします。

    $  podman push \
       --sign-by <username@example.com> \
       <registry>/<namespace>/<image>

   注記

   既存のイメージをコンテナーレジストリー間で移動するときに署名する必要がある場合は、skopeo copy コマンドを使用できます。

5. オプション: 新しいイメージ署名を表示します。

   # (cd /var/lib/containers/sigstore/; find . -type f)
   ./<image>@sha256=<digest>/signature-1

6. ローカル署名をルックアサイド Web サーバーにコピーします。

   # rsync -a /var/lib/containers/sigstore <user@registry-lookaside.example.com>:/registry-lookaside/webroot/sigstore

   署名は、lookaside-staging オプションによって決定される場所 (この場合は /var/lib/containers/sigstore ディレクトリー) に保存されます。