3.10. 创建容器镜像签名验证策略

流程

1. 根据以下示例创建 security-policy-config.json 文件：

   • 没有签名验证：

     {
       "default": [
       {
         "type": "insecureAcceptAnything"
       }],
       "transports": {}
     }

   • 使用签名验证：

     {
         "default": [
         ],
         "transports": {
             "docker": {
                 "<container_registry_url>/<username>/busybox:latest": 

     1

     
                 [
                     {
                         "type": "sigstoreSigned",
                         "keyPath": "kbs:///default/img-sig/pub-key" 

     2

     
                     }
                 ]
             }
         }
     }

     1

     指定容器 registry URL，例如 "quay.io"。

     2

     指定您创建的容器镜像签名验证 secret 的类型和标签，例如 img-sig/pub-key。

2. 运行以下命令来创建安全策略：

   $ oc create secret generic security-policy \
     --from-file=osc=./<security-policy-config.json> \
     -n trustee-operator-system

   不要更改机密类型 security-policy 或 key, osc。

   security-policy secret 在 KbsConfig 自定义资源的 spec.kbsSecretResources 键中指定。