4.4. 配置 Ansible-Galaxy CLI 以验证集合

流程

1. 要将公钥导入到用于 ansible-galaxy 的非默认密钥环中，请运行以下命令：

   gpg --import --no-default-keyring --keyring ~/.ansible/pubring.kbx my-public-key.asc

   注意

   除了自动化中心提供的任何签名外，也可在要求文件和命令行中提供签名源。签名源应当是 URI。

2. 使用 --signature 选项验证 CLI 上提供的集合名称以及其他签名。

   ansible-galaxy collection install namespace.collection
   --signature https://examplehost.com/detached_signature.asc
   --signature file:///path/to/local/detached_signature.asc --keyring ~/.ansible/pubring.kbx

   您可以多次使用这个选项提供多个签名。

3. 确认要求文件中的集合在集合的签名密钥后列出任何其他签名源，如下例所示。

   # requirements.yml
   collections:
     - name: ns.coll
       version: 1.0.0
       signatures:
         - https://examplehost.com/detached_signature.asc
         - file:///path/to/local/detached_signature.asc
   
   ansible-galaxy collection verify -r requirements.yml --keyring ~/.ansible/pubring.kbx

   当您从自动化中心安装集合时，服务器提供的签名会与安装的集合一起保存，以验证集合的真实性。

4. （可选）如果您需要在不查询 Ansible Galaxy 服务器的情况下再次验证集合的内部一致性，请使用 --off 命令行选项运行之前使用的相同命令。