8.6. Fulcio と Rekor を使用した sigstore 署名を持つコンテナーイメージの検証

手順

1. 次の内容を /etc/containers/registries.conf.d/default.yaml ファイルに追加します。

   docker:
       <registry>:
           use-sigstore-attachments: true

   • use-sigstore-attachments オプションを設定することで、Podman と Skopeo はコンテナーの sigstore 署名をイメージと共に読み書きし、署名されたイメージと同じリポジトリーに保存できます。

     注記

     /etc/containers/registries.d ディレクトリー内の任意の YAML ファイルのレジストリーまたはリポジトリー設定セクションを編集できます。単一のスコープ (default-docker、レジストリー、または名前空間) は、/etc/containers/registries.d ディレクトリー内の 1 つのファイルにのみ存在できます。/etc/containers/registries.d/default.yaml ファイルでシステム全体のレジストリー設定を編集することもできます。すべての YAML ファイルが読み取られ、ファイル名は任意であることに注意してください。

2. /etc/containers/policy.json ファイルに fulcio セクションと rekorPublicKeyPath フィールドまたは rekorPublicKeyData フィールドを追加します。

   {
       ...
       "transports": {
   	"docker": {
           "<registry>/<namespace>": [
               {
               "type": "sigstoreSigned",
               "fulcio": {
                   "caPath": "/path/to/local/CA/file",
                   "oidcIssuer": "https://expected.OIDC.issuer/",
                   "subjectEmail", "expected-signing-user@example.com",
               },
               "rekorPublicKeyPath": "/path/to/local/public/key/file",
               }
           ]
       ...
   	}
     }
     ...
   }

   • fulcio セクションでは、署名が Fulcio 発行の証明書に基づいていることが規定されています。
   • Fulcio インスタンスの CA 証明書を含む caPath フィールドと caData フィールドのいずれかを指定する必要があります。
   • oidcIssuer と subjectEmail は両方とも必須であり、予期される ID プロバイダー、および Fulcio 証明書を取得するユーザーの ID を正確に指定します。
   • rekorPublicKeyPath フィールドと rekorPublicKeyData フィールドのいずれかを指定する必要があります。

3. イメージをプルします:

   $ podman pull <registry>/<namespace>/<image>