9장. 컨테이너 이미지 서명

절차

1. GPG 키를 생성합니다.

   # gpg --full-gen-key

2. 공개 키를 내보냅니다.

   # gpg --output <path>/key.gpg --armor --export <username@domain.com>

3. 현재 디렉터리에서 Containerfile 을 사용하여 컨테이너 이미지를 빌드합니다.

   $ podman build -t <registry>/<namespace>/<image>

   < registry > , < namespace > , < image >를 컨테이너 이미지 식별자로 바꿉니다. 자세한 내용은 컨테이너 레지스트리를 참조하십시오.

4. 이미지에 서명하고 레지스트리에 푸시합니다.

    $  podman push \
       --sign-by <username@domain.com> \
       <registry>/<namespace>/<image>

   참고

   컨테이너 레지스트리에서 기존 이미지에 서명해야 하는 경우 skopeo copy 명령을 사용할 수 있습니다.

5. 선택 사항: 새 이미지 서명을 표시합니다.

   # (cd /var/lib/containers/sigstore/; find . -type f)
   ./<image>@sha256=<digest>/signature-1

6. 로컬 서명을 lookaside 웹 서버에 복사합니다.

   # rsync -a /var/lib/containers/sigstore <user@registry-lookaside.example.com>:/registry-lookaside/webroot/sigstore