8.4. 使用 GPG 签名为容器镜像签名

流程

1. 生成一个 GPG 密钥：

   # gpg --full-gen-key

2. 导出公钥：

   # gpg --output <path>/key.gpg --armor --export <username@example.com>

3. 使用当前目录中的 Containerfile 构建容器镜像：

   $ podman build -t <registry>/<namespace>/<image>

   将 <registry>, <namespace> 和 <image> 替换为容器镜像标识符。

4. 为镜像签名并将其推送到注册中心：

    $  podman push \
       --sign-by <username@example.com> \
       <registry>/<namespace>/<image>

   注意

   如果您需要在容器注册中心间移动现有镜像时为现有镜像签名，您可以使用 skopeo copy 命令。

5. 可选：显示新镜像签名：

   # (cd /var/lib/containers/sigstore/; find . -type f)
   ./<image>@sha256=<digest>/signature-1

6. 将本地签名复制到备用 web 服务器：

   # rsync -a /var/lib/containers/sigstore <user@registry-lookaside.example.com>:/registry-lookaside/webroot/sigstore

   签名存储在由 lookaside-staging 选项决定的位置，本例中为 /var/lib/containers/sigstore 目录。