8.2. 验证 GPG 镜像签名

流程

1. 为 <registry> 更新信任范围：

   $ podman image trust set -f <path>/key.gpg <registry>/<namespace>

   Copy to Clipboard Toggle word wrap

2. 可选：显示 /etc/containers/policy.json 文件来验证信任策略配置：

   $ cat /etc/containers/policy.json
   {
     ...
     "transports": {
       "docker": {
         "<registry>/<namespace>": [
           {
             "type": "signedBy",
             "keyType": "GPGKeys",
             "keyPath": "<path>/key.gpg"
           }
         ]
       }
     }
   }

   Copy to Clipboard Toggle word wrap
   注意

   通常，/etc/containers.policy.json 文件在使用相同的键的机构级别进行配置。例如，<registry>/<namespace> 用于公共注册中心，<registry> 用于只针对单一公司的专用注册中心。

3. 拉取镜像：

   # podman pull <registry>/<namespace>/<image>
   ...
   Storing signatures
   e7d92cdc71feacf90708cb59182d0df1b911f8ae022d29e8e95d75ca6a99776a

   Copy to Clipboard Toggle word wrap

   podman pull 命令会根据配置强制实施签名存在，不需要额外的选项。