5.10. oc-mirror 플러그인 v2에서 이미지 시그니처 미러링 및 검증

프로세스

1. 모든 이미지에 대해 서명 미러링을 활성화하려면 다음 명령을 실행하세요.

   $ oc mirror --remove-signatures=false

2. 전송 프로토콜, 레지스트리, 네임스페이스 또는 이미지와 같은 특정 요소에 대한 서명 미러링을 활성화하거나 비활성화하려면 다음 단계를 따르세요.

   1. $HOME/.config/containers/registries.d/ 또는 /etc/containers/registries.d/ 디렉토리에 YAML 파일을 만듭니다.

   2. 다음 예에서 볼 수 있듯이 use-sigstore-attachments 매개변수를 지정하고 제어하려는 특정 요소에서 이를 true 또는 false 로 설정합니다.

      예: quay.io 레지스트리에 대한 서명 미러링 비활성화

      # ...
      docker:
        quay.io:
          use-sigstore-attachments: false
      # ...

      예: 모든 레지스트리에 대한 서명 미러링 활성화

      # ...
      default-docker:
        use-sigstore-attachments: true
      # ...

프로세스

1. 모든 이미지에 대해 서명 검증을 활성화하려면 다음 명령을 실행하세요.

   $ oc mirror --secure-policy=true

2. 전송 프로토콜, 레지스트리, 네임스페이스 또는 이미지와 같은 특정 요소에 대한 서명 검증을 활성화하거나 비활성화하려면 다음 단계를 따르세요.

   1. $HOME/.config/containers/ 또는 /etc/containers/ 디렉토리에 policy.json 파일을 만듭니다.

      참고

      정책 구성 파일이 기본 디렉토리 외부에 있는 경우 oc mirror 명령과 함께 --policy 플래그를 사용하여 해당 경로를 지정할 수 있습니다.

      자세한 내용은 containers-policy.json(5)을 참조하세요.

   2. 적절한 정책 구성을 사용하여 원하는 범위(예: 레지스트리 또는 이미지)에 대한 검증 규칙을 정의합니다. 각 요소 아래에 원하는 규칙을 지정하여 검증 요구 사항을 설정할 수 있습니다.

      예: 특정 이미지에 대해서만 검증을 활성화하고 다른 모든 이미지는 거부합니다.

      {
        "default": [{"type": "reject"}],
        "transports": {
          "docker": {
            "hostname:5000/myns/sigstore-signed-image": [
              {
                "type": "sigstoreSigned",
                "keyPath": "/path/to/sigstore-pubkey.pub",
                "signedIdentity": {"type": "matchRepository"}
              }
            ]
          }
        }
      }