Red Hat Training

A Red Hat training course is available for RHEL 8

4.2. GPG イメージ署名の検証

次の手順を使用して、コンテナーイメージが GPG キーで正しく署名されていることを確認できます。

前提条件

  • 署名読み取り用の Web サーバーがセットアップされ、その上でファイルを公開できます。

    • システム全体のレジストリー設定は、/etc/containers/registries.d/default.yaml ファイルで確認できます。lookaside オプションは、署名読み取り用の Web サーバーを参照します。署名を検証するには、lookaside オプションを設定する必要があります。

      # cat /etc/containers/registries.d/default.yaml
      ...
      docker:
          <registry>:
              lookaside: https://registry-lookaside.example.com
              lookaside-staging: file:///var/lib/containers/sigstore
      ...

手順

  1. <registry> の信頼範囲を更新します。

    $ podman image trust set -f <path>/key.gpg <registry>/<namespace>
  2. オプション:/etc/containers/policy.json ファイルを表示して、信頼ポリシーの設定を確認します。

    $ cat /etc/containers/policy.json
    {
      ...
      "transports": {
        "docker": {
          "<registry>/<namespace>": [
            {
              "type": "signedBy",
              "keyType": "GPGKeys",
              "keyPath": "<path>/key.gpg"
            }
          ]
        }
      }
    }
    注記

    通常、/etc/containers.policy.json ファイルは、同じキーが使用される組織のレベルで設定されます。たとえば、公開レジストリーの場合は <registry>/<namespace>、単一企業専用レジストリーの場合は単に <registry> です。

  3. イメージをプルします:

    # podman pull <registry>/<namespace>/<image>
    ...
    Storing signatures
    e7d92cdc71feacf90708cb59182d0df1b911f8ae022d29e8e95d75ca6a99776a

    podman pull コマンドは、設定どおりに署名の存在を強制します。追加のオプションは必要ありません。

注記

/etc/containers/registries.d/default.yaml ファイルで、システム全体のレジストリー設定を編集できます。/etc/containers/registries.d ディレクトリーにある任意の YAML ファイルのレジストリーまたはリポジトリー設定セクションを編集することもできます。すべての YAML ファイルが読み取られ、ファイル名は任意です。単一のスコープ (default-docker、レジストリー、または名前空間) は、/etc/containers/registries.d ディレクトリー内の 1 つのファイルにのみ存在できます。

重要

/etc/containers/registries.d/default.yaml ファイルのシステム全体のレジストリー設定により、公開された署名にアクセスできます。sigstore および sigstore-staging オプションは非推奨になりました。これらのオプションは署名ストレージを参照しており、sigstore 署名形式には関連付けられていません。代わりに、新しい同等の lookaside および lookaside-staging オプションを使用してください。

関連情報

  • podman-image-trust の man ページ
  • podman-pull の man ページ