3.5. 使用 policy.json 文件进行容器签名验证

您可以通过修改 policy.json 文件将 RHEL 配置为验证容器镜像签名。这样可确保 podman、buildah 和 skopeo 等工具仅从可信且未修改的源拉取镜像。

对于系统范围的配置，您可以修改 /etc/containers/policy.json 文件。对于无根用户，您可以在 $HOME/.config/containers/policy.json 文件中应用这些规则。

您可以配置默认规则来接受所有内容。但是，您可以在 docker 传输中限制特定范围的命名空间，如 localhost:5003/simple-sq-signed-centos，来严格要求有效的签名。例如：

{
  "default": [
    {
      "type": "insecureAcceptAnything"
    }
  ],
  "transports": {
    "docker": {
      "localhost:5003/simple-sq-signed-centos": [
        {
          "type": "signedBy",
          "keyType": "GPGKeys",
          "keyPath": "testdata/sequoia-key.pgp"
        }
      ]
    }
  }
}