第 3 章 ImageSignature [image.openshift.io/v1]
- 描述
ImageSignature 包含镜像的签名。只要签名被信任，它就可以验证镜像身份和其他声明。根据此信息，可以将可运行的镜像限制为匹配的集群范围策略。执行镜像验证的客户端应解析必填字段。其他则由服务器从签名的内容解析。它们只是一个信息性目的。
兼容性级别 1：在主发行版本中至少提供 12 个月或 3 个次版本（以更长的时间为准）。
- 类型
-
object - 必填
-
type -
content
-
3.1. 规格
| 属性 | 类型 | 描述 |
|---|---|---|
|
|
| APIVersion 定义对象的这个表示法的版本化的 schema。服务器应该将识别的模式转换为最新的内部值，并可拒绝未识别的值。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#resources |
|
|
| 条件代表签名当前状态的最新可用影响。 |
|
|
| SignatureCondition 描述了特定探测时特定 kind 的镜像签名条件。 |
|
|
| 必需：不透明的二进制字符串，它是镜像的签名。 |
|
| 如果指定，这是签名创建的时间。 | |
|
|
| 代表镜像身份的人类可读字符串。它可以是产品名称和版本，也可以是镜像拉取 spec （如 "registry.access.redhat.com/rhel7/rhel:7.2"）。 |
|
|
| SignatureIssuer 包含有关签名证书或密钥的签发者的信息。 |
|
|
| 签名使用者包含有关创建签名的个人或实体的信息。 |
|
|
| kind 是一个字符串值，代表此对象所代表的 REST 资源。服务器可以从客户端向其提交请求的端点推断。无法更新。采用驼峰拼写法 (CamelCase)。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#types-kinds |
|
| metadata 是标准对象的元数据。更多信息： https://git.k8s.io/community/contributors/devel/sig-architecture/api-conventions.md#metadata | |
|
|
| 包含来自签名的声明。 |
|
|
| 必需：描述存储的 blob 类型。 |
3.1.1. .conditions
- 描述
- 条件代表签名当前状态的最新可用影响。
- 类型
-
array
3.1.2. .conditions[]
- 描述
- SignatureCondition 描述了特定探测时特定 kind 的镜像签名条件。
- 类型
-
object - 必填
-
type -
status
-
| 属性 | 类型 | 描述 |
|---|---|---|
|
| 检查条件最后一次的时间。 | |
|
| 条件从一个状态传输到另一个状态最后一次的时间。 | |
|
|
| 人类可读的消息，指示最后一次转换的详细信息。 |
|
|
| (brief)条件最后一次转换的原因。 |
|
|
| 条件的状态，True, False, Unknown 之一。 |
|
|
| 签名条件的类型，完成或失败。 |
3.1.3. .issuedBy
- 描述
- SignatureIssuer 包含有关签名证书或密钥的签发者的信息。
- 类型
-
object
| 属性 | 类型 | 描述 |
|---|---|---|
|
|
| 通用名称（如 openshift-signing-service）。 |
|
|
| 机构名称。 |
3.1.4. .issuedTo
- 描述
- 签名使用者包含有关创建签名的个人或实体的信息。
- 类型
-
object - 必填
-
publicKeyID
-
| 属性 | 类型 | 描述 |
|---|---|---|
|
|
| 通用名称（如 openshift-signing-service）。 |
|
|
| 机构名称。 |
|
|
| 如果存在，它是属于用于验证镜像签名的主题的公共密钥的人类可读密钥 ID。它应该至少包含 64 位公钥的指纹（例如 0x685ebe62bf278440）。 |
