3.6. 使用签名的容器

流程

1. 在终端中，创建签名脚本，并将脚本路径作为安装程序参数传递。

   示例 ：

   #!/usr/bin/env bash
   
   # pulp_container SigningService will pass the next 4 variables to the script.
   MANIFEST_PATH=$1
   FINGERPRINT="$PULP_SIGNING_KEY_FINGERPRINT"
   IMAGE_REFERENCE="$REFERENCE"
   SIGNATURE_PATH="$SIG_PATH"
   
   # Create container signature using skopeo
   skopeo standalone-sign \
     $MANIFEST_PATH \
     $IMAGE_REFERENCE \
     $FINGERPRINT \
     --output $SIGNATURE_PATH
   
   # Optionally pass the passphrase to the key if password protected.
   # --passphrase-file /path/to/key_password.txt
   
   # Check the exit status
   STATUS=$?
   if [ $STATUS -eq 0 ]; then
     echo {\"signature_path\": \"$SIGNATURE_PATH\"}
   else
     exit $STATUS
   fi

2. 查看 Ansible Automation Platform 安装程序清单文件，以了解以 automationhub swig 开头的容器签名选项。

   [all:vars]
   .
   .
   .
   
   automationhub_create_default_container_signing_service = True
   automationhub_container_signing_service_key = /absolute/path/to/key/to/sign
   automationhub_container_signing_service_script = /absolute/path/to/script/that/signs

3. 安装完成后，登录 Ansible Automation Platform 并导航到 Automation Content Signature Keys。
4. 确保有一个名为 container-default 或 container-anyname 的密钥。

流程

1. 登录到 Ansible Automation Platform。
2. 在导航面板中，选择 Automation Content Remote Registries。

3. 单击 Create remote registry。

   • 在 Name 字段中输入容器所在的 registry 的名称。
   • 在 URL 字段中输入容器所在的 registry 的 URL。
   • 如果需要，在 Username 字段中输入用户名。
   • 在 Password 字段中，根据需要输入密码。
   • 单击 Create remote registry。

流程

1. 在导航面板中，选择 Automation Content Execution Environments。

2. 点 Create execution environment，然后在出现的字段中输入相关信息。

   1. Name 字段显示本地 registry 上执行环境的名称。
   2. Upstream name 字段是远程服务器上的镜像名称。
   3. 在 Registry 下，从下拉菜单中选择 registry 的名称。
   4. 可选：在 Add tag (s) to include 字段中输入标签。如果字段为空，则将传递所有标签。您必须指定要传递哪些特定于存储库的标签。
   5. 可选：在 Add tag (s) to exclude 字段中输入要排除的标签。
3. 单击 Create execution environment。您应该会在出现的列表中看到您的新执行环境。

4. 同步并签署您的新自动化执行环境。

   1. 点 More Actions 图标 HEKETI 并选择 Sync execution environment。
   2. 点 More Actions 图标 HEKETI 并选择 Sign execution environment。
5. 单击您的新执行环境。在 Details 页面中，找到 Signed 标签，以确定您的执行环境是否已签名。

流程

1. 在终端中，登录到 Podman 或当前使用的任何容器客户端：

   > podman pull <container-name>

2. 拉取执行环境后，添加标签（例如： latest、rc、beta 或版本号，如 1.0； 2.3 等）：

   > podman tag <container-name> <server-address>/<container-name>:<tag name>

3. 进行更改后签署执行环境，并将其推送到自动化中心 registry：

   > podman push <server-address>/<container-name>:<tag name> --tls-verify=false --sign-by <reference to the gpg key on your local>

   如果执行环境没有签名，则只能使用嵌入的任何当前签名推送。另外，您可以使用以下脚本在不签名的情况下推送执行环境：

   > podman push <server-address>/<container-name>:<tag name> --tls-verify=false

4. 推送执行环境后，进入 Automation Content Execution Environments。
5. 要显示新执行环境，点 Refresh 图标。
6. 点镜像的名称查看您推送的镜像。

1. 单击执行环境名称，以导航到详细信息页面。

2. 点 More Actions 图标 ⋮。有三个选项可用：

   • 签名执行环境
   • 在 Controller 中使用
   • 删除执行环境
3. 从下拉菜单中选择 Sign execution environment。

流程

1. 在导航面板中，选择 Automation Content Signature Keys。
2. 点您使用的签名旁的 Download key 图标。此时应打开一个新窗口，以表示您已下载了该密钥。

流程

1. 打开终端并使用以下命令：

   >  sudo <name of editor> /etc/containers/policy.json

   显示的文件类似如下：

   {
     "default": [{"type": "reject"}],
     "transports": {
     	"docker": {
       	"quay.io": [{"type": "insecureAcceptAnything"}],
       	"docker.io": [{"type": "insecureAcceptAnything"}],
       	"<server-address>": [
         	{
             	    "type": "signedBy",
             	    "keyType": "GPGKeys",
             	    "keyPath": "/tmp/containersig.txt"
         	}]
     	}
     }
   }

   此文件显示 quay.io 或 docker.io 都不执行验证，因为类型是 insecureAcceptAnything，它会覆盖默认的 reject 类型。但是 <server-address> 将执行验证，因为参数 type 被设置为 "signedBy"。

   注意

   目前唯一支持的 keyType 是 GPG 密钥。

2. 在 <server-address> 条目下，修改 keyPath <1> 使其包含您的密钥文件的名称。

   {
       	"default": [{"type": "reject"}],
       	"transports": {
           	"docker": {
             	  "quay.io": [{"type": "insecureAcceptAnything"}],
             	  "docker.io": [{"type": "insecureAcceptAnything"}],
             	  "<server-address>": [{
                   	"type": "signedBy",
                   	"keyType": "GPGKeys",
                   	"keyPath": "/tmp/<key file name>",
                   	"signedIdentity": {
                     	  "type": "matchExact"
                       }
               	  }]
               }
       	}
   }

3. 保存并关闭该文件。