3.6. 서명된 컨테이너 작업

프로세스

1. 터미널에서 서명 스크립트를 생성하고 설치 프로그램 매개 변수로 스크립트 경로를 전달합니다.

   예:

   #!/usr/bin/env bash
   
   # pulp_container SigningService will pass the next 4 variables to the script.
   MANIFEST_PATH=$1
   FINGERPRINT="$PULP_SIGNING_KEY_FINGERPRINT"
   IMAGE_REFERENCE="$REFERENCE"
   SIGNATURE_PATH="$SIG_PATH"
   
   # Create container signature using skopeo
   skopeo standalone-sign \
     $MANIFEST_PATH \
     $IMAGE_REFERENCE \
     $FINGERPRINT \
     --output $SIGNATURE_PATH
   
   # Optionally pass the passphrase to the key if password protected.
   # --passphrase-file /path/to/key_password.txt
   
   # Check the exit status
   STATUS=$?
   if [ $STATUS -eq 0 ]; then
     echo {\"signature_path\": \"$SIGNATURE_PATH\"}
   else
     exit $STATUS
   fi

2. automationhub_* 로 시작하는 컨테이너 서명 옵션을 보려면 Ansible Automation Platform 설치 프로그램 인벤토리 파일을 검토하십시오.

   [all:vars]
   .
   .
   .
   
   automationhub_create_default_container_signing_service = True
   automationhub_container_signing_service_key = /absolute/path/to/key/to/sign
   automationhub_container_signing_service_script = /absolute/path/to/script/that/signs

3. 설치가 완료되면 Ansible Automation Platform에 로그인하고 Automation Content Signature Keys 로 이동합니다.
4. container-default 또는 컨테이너-anyname 이라는 키가 있는지 확인합니다.

프로세스

1. Ansible Automation Platform에 로그인합니다.
2. 탐색 패널에서 Automation Content Remote Registries 를 선택합니다.

3. 원격 레지스트리 생성을 클릭합니다.

   • 이름 필드에 컨테이너가 있는 레지스트리의 이름을 입력합니다.
   • URL 필드에 컨테이너가 있는 레지스트리의 URL을 입력합니다.
   • 필요한 경우 Username 필드에 사용자 이름을 입력합니다.
   • 필요한 경우 암호 필드에 암호를 입력합니다.
   • 원격 레지스트리 생성을 클릭합니다.

프로세스

1. 탐색 패널에서 자동화 콘텐츠 실행 환경을 선택합니다.

2. 실행 환경 생성 을 클릭하고 표시되는 필드에 관련 정보를 입력합니다.

   1. Name 필드에는 로컬 레지스트리의 실행 환경 이름이 표시됩니다.
   2. Upstream 이름 필드는 원격 서버의 이미지 이름입니다.
   3. 레지스트리 의 드롭다운 메뉴에서 레지스트리 이름을 선택합니다.
   4. 선택 사항: Add tag(s) to include 필드에 태그를 입력합니다. 필드가 비어 있으면 모든 태그가 전달됩니다. 전달할 리포지토리별 태그를 지정해야 합니다.
   5. 선택 사항: 제외할 태그 추가에 제외할 태그를 입력합니다.
3. 실행 환경 생성을 클릭합니다. 표시되는 목록에 새 실행 환경이 표시되어야 합니다.

4. 새 자동화 실행 환경을 동기화하고 서명합니다.

   1. More Actions 아이콘 Cryostat 를 클릭하고 실행 환경 동기화 를 선택합니다.
   2. More Actions 아이콘 Cryostat 를 클릭하고 Sign execution environment 를 선택합니다.
5. 새 실행 환경을 클릭합니다. 세부 정보 페이지에서 서명된 레이블을 찾아 실행 환경에 서명되었는지 확인합니다.

프로세스

1. 터미널에서 Podman 또는 현재 사용 중인 컨테이너 클라이언트에 로그인합니다.

   > podman pull <container-name>

2. 실행 환경을 가져온 후 태그를 추가합니다(예: latest, rc, beta 또는 버전 번호(예: 1.0; 2.3 등):

   > podman tag <container-name> <server-address>/<container-name>:<tag name>

3. 변경 후 실행 환경에 로그인하고 자동화 허브 레지스트리로 다시 푸시합니다.

   > podman push <server-address>/<container-name>:<tag name> --tls-verify=false --sign-by <reference to the gpg key on your local>

   실행 환경이 서명되지 않은 경우 현재 서명이 포함된 경우에만 푸시할 수 있습니다. 또는 다음 스크립트를 사용하여 서명하지 않고 실행 환경을 푸시할 수 있습니다.

   > podman push <server-address>/<container-name>:<tag name> --tls-verify=false

4. 실행 환경이 푸시되면 Automation Content Execution Environments 로 이동합니다.
5. 새 실행 환경을 표시하려면 새로 고침 아이콘을 클릭합니다.
6. 내보낸 이미지를 보려면 이미지의 이름을 클릭합니다.

1. 실행 환경 이름을 클릭하여 세부 정보 페이지로 이동합니다.

2. More Actions 아이콘 Cryostat를 클릭합니다. 세 가지 옵션을 사용할 수 있습니다.

   • 실행 환경에 서명
   • 컨트롤러에서 사용
   • 실행 환경 삭제
3. 드롭다운 메뉴에서 Sign execution environment 를 클릭합니다.

프로세스

1. 탐색 패널에서 Automation Content Signature Keys 를 선택합니다.
2. 사용 중인 서명 옆에 있는 키 다운로드 아이콘을 클릭합니다. 키를 다운로드했음을 나타내기 위해 새 창이 열려 있어야 합니다.

프로세스

1. 터미널을 열고 다음 명령을 사용합니다.

   >  sudo <name of editor> /etc/containers/policy.json

   표시되는 파일은 다음과 유사합니다.

   {
     "default": [{"type": "reject"}],
     "transports": {
     	"docker": {
       	"quay.io": [{"type": "insecureAcceptAnything"}],
       	"docker.io": [{"type": "insecureAcceptAnything"}],
       	"<server-address>": [
         	{
             	    "type": "signedBy",
             	    "keyType": "GPGKeys",
             	    "keyPath": "/tmp/containersig.txt"
         	}]
     	}
     }
   }

   이 파일은 quay.io 또는 docker.io 가 모두 확인을 수행하지 않음을 보여줍니다. 유형은 거부 의 기본 유형을 재정의하는 insecureAcceptAnything 이기 때문입니다. 그러나 매개변수 유형은 "signedBy" 로 설정되어 있으므로 < server-address >는 확인을 수행합니다.

   참고

   현재 지원되는 유일한 keyType 은 GPG 키입니다.

2. &lt ;server-address > 항목에서 키 파일의 이름을 포함하도록 keyPath <1>를 수정합니다.

   {
       	"default": [{"type": "reject"}],
       	"transports": {
           	"docker": {
             	  "quay.io": [{"type": "insecureAcceptAnything"}],
             	  "docker.io": [{"type": "insecureAcceptAnything"}],
             	  "<server-address>": [{
                   	"type": "signedBy",
                   	"keyType": "GPGKeys",
                   	"keyPath": "/tmp/<key file name>",
                   	"signedIdentity": {
                     	  "type": "matchExact"
                       }
               	  }]
               }
       	}
   }

3. 파일을 저장하고 닫습니다.