3.6. 서명된 컨테이너 작업

프로세스

1. 터미널에서 서명 스크립트를 생성하고 설치 프로그램 매개 변수로 스크립트 경로를 전달합니다.

   예:

   #!/usr/bin/env bash
   
   # pulp_container SigningService will pass the next 4 variables to the script.
   MANIFEST_PATH=$1
   FINGERPRINT="$PULP_SIGNING_KEY_FINGERPRINT"
   IMAGE_REFERENCE="$REFERENCE"
   SIGNATURE_PATH="$SIG_PATH"
   
   # Create container signature using skopeo
   skopeo standalone-sign \
     $MANIFEST_PATH \
     $IMAGE_REFERENCE \
     $FINGERPRINT \
     --output $SIGNATURE_PATH
   
   # Optionally pass the passphrase to the key if password protected.
   # --passphrase-file /path/to/key_password.txt
   
   # Check the exit status
   STATUS=$?
   if [ $STATUS -eq 0 ]; then
     echo {\"signature_path\": \"$SIGNATURE_PATH\"}
   else
     exit $STATUS
   fi

   Copy to Clipboard Toggle word wrap

2. automationhub_* 로 시작하는 컨테이너 서명 옵션을 보려면 Ansible Automation Platform 설치 프로그램 인벤토리 파일을 검토하십시오.

   [all:vars]
   .
   .
   .
   
   automationhub_create_default_container_signing_service = True
   automationhub_container_signing_service_key = /absolute/path/to/key/to/sign
   automationhub_container_signing_service_script = /absolute/path/to/script/that/signs

   Copy to Clipboard Toggle word wrap
3. 설치가 완료되면 자동화 허브로 이동합니다.
4. 탐색 패널에서 서명 키를 선택합니다.
5. container-default 또는 컨테이너-anyname 이라는 키가 있는지 확인합니다.

프로세스

1. 자동화 허브에 로그인합니다.
2. 탐색 패널에서 실행 환경 원격 레지스트리 를 선택합니다.

3. 원격 레지스트리 추가를 클릭합니다.

   • 이름 필드에 컨테이너가 있는 레지스트리의 이름을 입력합니다.
   • URL 필드에 컨테이너가 있는 레지스트리의 URL을 입력합니다.
   • 필요한 경우 Username 필드에 사용자 이름을 입력합니다.
   • 필요한 경우 암호 필드에 암호를 입력합니다.
   • 저장을 클릭합니다.

프로세스

1. 탐색 패널에서 실행 환경 실행 환경을선택합니다.
2. 실행 환경 추가를 클릭합니다.
3. 실행 환경의 이름을 입력합니다.
4. 선택 사항: 업스트림 이름을 입력합니다.
5. 레지스트리 의 드롭다운 메뉴에서 레지스트리 이름을 선택합니다.
6. Add tag(s) to include 필드에 태그를 입력합니다. 필드가 비어 있으면 모든 태그가 전달됩니다. 전달할 리포지토리별 태그를 지정해야 합니다.

7. 나머지 필드는 선택 사항입니다.

   • 현재 포함된 태그
   • 제외할 태그 추가
   • 현재 제외된 태그
   • description
8. 저장을 클릭합니다.
9. 이미지를 동기화합니다.

프로세스

1. 터미널에서 Podman 또는 현재 사용 중인 컨테이너 클라이언트에 로그인합니다.

   > podman pull <container-name>

   Copy to Clipboard Toggle word wrap

2. 이미지를 가져온 후 태그를 추가합니다(예: latest, rc, beta 또는 버전 번호(예: 1.0; 2.3 등):

   > podman tag <container-name> <server-address>/<container-name>:<tag name>

   Copy to Clipboard Toggle word wrap

3. 변경 사항이 적용된 후 이미지에 서명하고 자동화 허브 레지스트리로 다시 푸시합니다.

   > podman push <server-address>/<container-name>:<tag name> --tls-verify=false --sign-by <reference to the gpg key on your local>

   Copy to Clipboard Toggle word wrap

   이미지에 서명되지 않은 경우 현재 서명을 포함하는 경우에만 푸시할 수 있습니다. 또는 다음 스크립트를 사용하여 서명하지 않고 이미지를 내보낼 수 있습니다.

   > podman push <server-address>/<container-name>:<tag name> --tls-verify=false

   Copy to Clipboard Toggle word wrap
4. 이미지를 푸시한 후 자동화 허브로 이동합니다.
5. 탐색 패널에서 실행 환경 실행 환경을선택합니다.
6. 새 실행 환경을 표시하려면 새로 고침 아이콘을 클릭합니다.
7. 내보낸 이미지를 보려면 이미지의 이름을 클릭합니다.

1. 이미지 이름을 클릭하여 세부 정보 페이지로 이동합니다.

2. More Actions 아이콘 Cryostat를 클릭합니다. 세 가지 옵션을 사용할 수 있습니다.

   • 컨트롤러에서 사용
   • delete
   • 서명
3. 드롭다운 메뉴에서 Sign 을 클릭합니다.

프로세스

1. 탐색 패널에서 서명 키를 선택합니다.
2. 사용 중인 서명 옆에 있는 More Actions 아이콘을 클릭합니다.
3. 드롭다운 메뉴에서 다운로드 키를 선택합니다. 새 창이 열립니다.
4. 이름 필드에 키 이름을 입력합니다.
5. 저장을 클릭합니다.

프로세스

1. 터미널을 열고 다음 명령을 사용합니다.

   >  sudo <name of editor> /etc/containers/policy.json

   Copy to Clipboard Toggle word wrap

   표시되는 파일은 다음과 유사합니다.

   {
     "default": [{"type": "reject"}],
     "transports": {
     	"docker": {
       	"quay.io": [{"type": "insecureAcceptAnything"}],
       	"docker.io": [{"type": "insecureAcceptAnything"}],
       	"<server-address>": [
         	{
             	    "type": "signedBy",
             	    "keyType": "GPGKeys",
             	    "keyPath": "/tmp/containersig.txt"
         	}]
     	}
     }
   }

   Copy to Clipboard Toggle word wrap

   이 파일은 quay.io 또는 docker.io 가 모두 확인을 수행하지 않음을 보여줍니다. 유형은 거부 의 기본 유형을 재정의하는 insecureAcceptAnything 이기 때문입니다. 그러나 매개변수 유형은 "signedBy" 로 설정되어 있으므로 < server-address >는 확인을 수행합니다.

   참고

   현재 지원되는 유일한 keyType 은 GPG 키입니다.

2. &lt ;server-address > 항목에서 키 파일의 이름을 포함하도록 keyPath <1>를 수정합니다.

   {
       	"default": [{"type": "reject"}],
       	"transports": {
           	"docker": {
             	  "quay.io": [{"type": "insecureAcceptAnything"}],
             	  "docker.io": [{"type": "insecureAcceptAnything"}],
             	  "<server-address>": [{
                   	"type": "signedBy",
                   	"keyType": "GPGKeys",
                   	"keyPath": "/tmp/<key file name>",
                   	"signedIdentity": {
                     	  "type": "matchExact"
                       }
               	  }]
               }
       	}
   }

   Copy to Clipboard Toggle word wrap
3. 파일을 저장하고 닫습니다.