8.2. Fulcio と Rekor を使用した sigstore 署名によるコンテナーイメージの署名

手順

1. 次の内容を /etc/containers/registries.conf.d/default.yaml ファイルに追加します。

   docker:
       <registry>:
           use-sigstore-attachments: true

   use-sigstore-attachments オプションを設定することで、Podman と Skopeo はコンテナーの sigstore 署名をイメージと共に読み書きし、署名されたイメージと同じリポジトリーに保存できます。

   /etc/containers/registries.d/ ディレクトリー内の任意の YAML ファイルのレジストリーまたはリポジトリー設定セクションを編集できます。単一のスコープ (default-docker、registry、または namespace) は、/etc/containers/registries.d/ ディレクトリー内の 1 つのファイルにのみ存在できます。

   /etc/containers/registries.d/default.yaml ファイルでシステム全体のレジストリー設定を編集することもできます。すべての YAML ファイルが読み込まれ、ファイル名は任意であることに注意してください。

2. /etc/containers/registries.d/file.yml ファイルを作成します。

   fulcio:
     fulcioURL: "https://<your-fulcio-server>"
     oidcMode: "interactive"
     oidcIssuerURL: "https://<your-OIDC-provider>"
     oidcClientID: "sigstore"
   rekorURL: "https://<your-rekor-server>"

   file.yml は、sigstore 署名の作成に必要なオプションを保存するために使用される sigstore 署名パラメーター YAML ファイルです。

3. イメージに署名し、レジストリーにプッシュします。

   $ podman push --sign-by-sigstore=file.yml <registry>/<namespace>/<image>

   あるいは、同様の --sign-by-sigstore オプションを指定して skopeo copy コマンドを使用して、既存のイメージをコンテナーレジストリー間で移動しながら署名することもできます。

   警告

   パブリックサーバーへの送信には、公開鍵、証明書、および署名メタデータが含まれる点に注意してください。

   詳細は、システム上の containers-sigstore-signing-params.yaml、podman-push(1)、および container-registries.d の man ページを参照してください。