1.3. 在私有自动化中心中的集合和内容签名

流程

1. 创建只接受文件名的签名脚本。

   注意

   此脚本充当签名服务，必须使用通过 PULP_SIGNING_KEY_FINGERPRINT 环境变量指定的密钥为该文件生成 ascii-armored 分离 gpg 签名。

   该脚本打印一个 JSON 结构，其格式如下：

   {"file": "filename", "signature": "filename.asc"}

   所有文件名都是当前工作目录中的相对路径。对于分离的签名，文件名必须保持相同。

   Example:

   以下脚本为内容生成签名：

   #!/usr/bin/env bash
   
   FILE_PATH=$1
   SIGNATURE_PATH="$1.asc"
   
   ADMIN_ID="$PULP_SIGNING_KEY_FINGERPRINT"
   PASSWORD="password"
   
   # Create a detached signature
   gpg --quiet --batch --pinentry-mode loopback --yes --passphrase \
      $PASSWORD --homedir ~/.gnupg/ --detach-sign --default-key $ADMIN_ID \
      --armor --output $SIGNATURE_PATH $FILE_PATH
   
   # Check the exit status
   STATUS=$?
   if [ $STATUS -eq 0 ]; then
      echo {\"file\": \"$FILE_PATH\", \"signature\": \"$SIGNATURE_PATH\"}
   else
      exit $STATUS
   fi

   部署私有自动化中心后，为 Ansible Automation Platform 集群启用了签名后，会在集合中会显示新的 UI。

2. 查看 Ansible Automation Platform 安装程序清单文件中的以 automationhub_* 开头的选项。

   [all:vars]
   .
   .
   .
   automationhub_create_default_collection_signing_service = True
   automationhub_auto_sign_collections = True
   automationhub_require_content_approval = True
   automationhub_collection_signing_service_key = /abs/path/to/galaxy_signing_service.gpg
   automationhub_collection_signing_service_script = /abs/path/to/collection_signing.sh

   两个新密钥(automationhub_auto_sign_collections 和 automationhub_require_content_approval)表示必须签名集合，并在上传到私有自动化中心后需要批准。

流程

1. 登录到您的 Ansible Automation Platform。
2. 在导航面板中，选择 Collections Approval。Approval dashboard 将打开并显示一个集合列表。
3. 对于您要签名的每个集合，点 Sign and approve。

流程

1. 登录到您的自动化中心。

2. 在导航面板中，选择 Signature Keys。签名密钥仪表板显示多个键的列表：集合和容器镜像。

   • 要验证集合，请下载前缀为 collections- 的密钥。
   • 要验证容器镜像，请下载前缀为 container- 的密钥。

3. 选择以下方法之一下载您的公钥：

   • 选择菜单图标，然后点 Download Key 以下载公钥。
   • 从列表中选择公钥，然后点 Copy to clipboard 图标。
   • 点 Public Key 选项卡中的下拉菜单，再复制整个公钥块。

流程

1. 要将公钥导入到用于 ansible-galaxy 的非默认密钥环中，请运行以下命令：

   gpg --import --no-default-keyring --keyring ~/.ansible/pubring.kbx my-public-key.asc

   注意

   除了自动化中心提供的任何签名外，也可在要求文件和命令行中提供签名源。签名源应当是 URI。

2. 要使用额外签名验证 CLI 上提供的集合名称，请运行以下命令：

   ansible-galaxy collection install namespace.collection
   --signature https://examplehost.com/detached_signature.asc
   --signature file:///path/to/local/detached_signature.asc --keyring ~/.ansible/pubring.kbx

   您可以多次使用这个选项提供多个签名。

3. 确认要求文件中的集合在集合的签名密钥后列出任何其他签名源，如下例所示。

   # requirements.yml
   collections:
     - name: ns.coll
       version: 1.0.0
       signatures:
         - https://examplehost.com/detached_signature.asc
         - file:///path/to/local/detached_signature.asc
   
   ansible-galaxy collection verify -r requirements.yml --keyring ~/.ansible/pubring.kbx

   当您从自动化中心安装集合时，服务器提供的签名会与安装的集合一起保存，以验证集合的真实性。

4. （可选）如果您需要在不查询 Ansible Galaxy 服务器的情况下再次验证集合的内部一致性，请使用 --off 命令行选项运行之前使用的相同命令。