8.2. 验证 GPG 镜像签名

流程

1. 更新 <registry> 的信任范围：

   $ podman image trust set -f <path>/key.gpg <registry>/<namespace>

2. 可选：通过显示 /etc/containers/policy.json 文件来验证信任策略配置：

   $ cat /etc/containers/policy.json
   {
     ...
     "transports": {
       "docker": {
         "<registry>/<namespace>": [
           {
             "type": "signedBy",
             "keyType": "GPGKeys",
             "keyPath": "<path>/key.gpg"
           }
         ]
       }
     }
   }

   注意

   通常，/etc/containers.policy.json 文件在使用相同密钥的机构层面进行配置。例如，用于公共注册中心的 <registry>/<namespace>，或单个公司专用中心的 registry 。

3. 拉取镜像：

   # podman pull <registry>/<namespace>/<image>
   ...
   Storing signatures
   e7d92cdc71feacf90708cb59182d0df1b911f8ae022d29e8e95d75ca6a99776a

   podman pull 命令会强制签名存在，而无需额外的选项。