第 8 章 签名容器镜像

流程

1. 生成一个 GPG 密钥：

   # gpg --full-gen-key

   Copy to Clipboard Toggle word wrap

2. 导出公钥：

   # gpg --output <path>/key.gpg --armor --export <username@domain.com>

   Copy to Clipboard Toggle word wrap

3. 使用 Containerfile 在当前目录中构建容器镜像：

   $ podman build -t <registry>/<namespace>/<image>

   Copy to Clipboard Toggle word wrap

   将 <registry>, <namespace> 和 <image> 替换为容器镜像标识符。如需了解更多详细信息，请参阅容器 registry。

4. 为镜像签名并将其推送到注册中心：

    $  podman push \
       --sign-by <username@domain.com> \
       <registry>/<namespace>/<image>

   Copy to Clipboard Toggle word wrap
   注意

   如果您需要在容器注册中心间移动现有镜像时为现有镜像签名，您可以使用 skopeo copy 命令。

5. 可选：显示新镜像签名：

   # (cd /var/lib/containers/sigstore/; find . -type f)
   ./<image>@sha256=<digest>/signature-1

   Copy to Clipboard Toggle word wrap

6. 将本地签名复制到备用 web 服务器：

   # rsync -a /var/lib/containers/sigstore <user@registry-lookaside.example.com>:/registry-lookaside/webroot/sigstore

   Copy to Clipboard Toggle word wrap