5.10. 在 oc-mirror 插件 v2 中镜像和验证镜像签名

流程

1. 如果要为所有镜像启用签名镜像，请运行以下命令：

   $ oc mirror --remove-signatures=false

2. 如果要为特定元素（如传输协议、registry、命名空间或镜像）启用或禁用签名镜像，请使用以下步骤：

   1. 在 $HOME/.config/containers/registries.d/ 或 /etc/containers/registries.d/ 目录中创建 YAML 文件。

   2. 指定 use-sigstore-attachments 参数，并在您要控制的特定元素下将其设置为 true 或 false，如下例所示：

      示例：禁用 quay.io registry 的签名镜像

      # ...
      docker:
        quay.io:
          use-sigstore-attachments: false
      # ...

      示例：为所有 registry 启用签名镜像

      # ...
      default-docker:
        use-sigstore-attachments: true
      # ...

流程

1. 如果要为所有镜像启用签名验证，请运行以下命令：

   $ oc mirror --secure-policy=true

2. 如果要为特定元素（如传输协议、registry、命名空间或镜像）启用或禁用签名验证，请按照以下步骤操作：

   1. 在 $HOME/.config/containers/ 或 /etc/containers/ 目录中创建 policy.json 文件。

      注意

      如果您的策略配置文件位于默认目录之外，您可以在 oc mirror 命令中使用 --policy 标志来指定其路径。

      如需更多信息，请参阅 containers-policy.json (5)。

   2. 使用适当的策略配置，为所需的范围（如 registry 或镜像）定义验证规则。您可以通过在每个元素中指定所需规则来设置验证要求。

      示例：仅为特定镜像启用验证，并拒绝所有其他镜像

      {
        "default": [{"type": "reject"}],
        "transports": {
          "docker": {
            "hostname:5000/myns/sigstore-signed-image": [
              {
                "type": "sigstoreSigned",
                "keyPath": "/path/to/sigstore-pubkey.pub",
                "signedIdentity": {"type": "matchRepository"}
              }
            ]
          }
        }
      }