10.4. 验证容器签名以进行供应链安全

流程

1. 运行以下命令，下载相关的公钥并将其保存为 /etc/containers/RedHat_ReleaseKey3.pub ：

   $ sudo curl -sL https://access.redhat.com/security/data/63405576.txt -o /etc/containers/RedHat_ReleaseKey3.pub

2. 要将容器运行时配置为验证来自红帽源的镜像，请编辑 /etc/containers/policy.json 文件使其包含以下配置：

   策略 JSON 文件示例

   {
       "default": [
           {
               "type": "reject"
           }
       ],
       "transports": {
           "docker": {
               "quay.io/openshift-release-dev": [{
                   "type": "sigstoreSigned",
                   "keyPath": "/etc/containers/RedHat_ReleaseKey3.pub",
                   "signedIdentity": {
                       "type": "matchRepoDigestOrExact"
                   }
               }],
               "registry.redhat.io": [{
                   "type": "sigstoreSigned",
                   "keyPath": "/etc/containers/RedHat_ReleaseKey3.pub",
                   "signedIdentity": {
                       "type": "matchRepoDigestOrExact"
                   }
               }]
           }
       }
   }

3. 通过编辑 /etc/containers/registries.d/registry.redhat.io.yaml 文件来在拉取镜像到本地存储时使用 sigstore attachments，使其包含以下配置：

   $ cat /etc/containers/registries.d/registry.redhat.io.yaml
   docker:
        registry.redhat.io:
            use-sigstore-attachments: true

4. 通过编辑 /etc/containers/registries.d/registry.quay.io.yaml 文件来在拉取镜像到本地存储时使用 sigstore 附加功能，使其包含以下配置：

   $ cat /etc/containers/registries.d/quay.io.yaml
   docker:
     quay.io/openshift-release-dev:
       use-sigstore-attachments: true

5. 如果您的用例需要这些镜像源的签名验证，请创建特定于用户的 registry 配置文件。您可以使用此处的示例开始并添加您自己的要求。

后续步骤

1. 如果您使用镜像 registry，请启用 sigstore attachments。
2. 否则，继续清理本地容器存储。