流程

1. 登录到 console.redhat.com。
2. 进入 Automation Hub → Collections。
3. 在每个集合中使用切换开关来决定是否将其从同步列表中排除。

流程

1. 以机构管理员身份登录到 console.redhat.com。
2. 进入 Automation Hub → Repo Management。
3. 找到 Sync URL，点 Copy to clipboard 图标 ( )。将 Sync URL 粘贴到配置 rh-certified remote 时要使用的文件中。
4. 点 More actions 图标 并点 Get token。
5. 在 Token Management 页面上，点 Load token。
6. 点 Copy to clipboard 复制 API 令牌。
7. 将 API 令牌粘贴到文件中，并存储在安全位置。

流程

1. 登录到您的本地自动化中心。
2. 进入 Repo Management。
3. 点 Remotes 选项卡。
4. 在 rh-certified 远程中，点 并点 Edit。
5. 在相关界面中，粘贴您从 cloud.redhat.com 获取的 Sync URL 和 Token。
6. 点击 Save。

流程

1. 登录到您的本地自动化中心。
2. 进入 Repo Management。
3. 点 Remotes 选项卡。
4. 在 Community 远程中，点 More Actions 图标 并点 Edit。
5. 在相应的界面中，点 Browse 并在本地机器上找到 requirements.yml 文件。
6. 点击 Save。

1. 点 Sync 以同步来自 Ansible Galaxy 和 Automation Hub 的集合。

流程

1. 创建仅接受文件名的签名脚本。

   注意

   此脚本将充当签名服务，且必须使用通过 PULP_SIGNING_KEY_FINGERPRINT 环境变量指定的密钥为该文件生成 ascii-armored 分离的 gpg 签名。

   然后，该脚本会输出一个 JSON 结构，其格式如下：

   {"file": "filename", "signature": "filename.asc"}

   所有文件名都是当前工作目录中的相对路径。对于分离的签名，文件名必须保持相同，如下所示。

   以下示例显示了为内容生成签名的脚本：

   #!/usr/bin/env bash
   
   FILE_PATH=$1
   SIGNATURE_PATH="$1.asc"
   
   ADMIN_ID="$PULP_SIGNING_KEY_FINGERPRINT"
   PASSWORD="password"
   
   # Create a detached signature
   gpg --quiet --batch --pinentry-mode loopback --yes --passphrase \
      $PASSWORD --homedir ~/.gnupg/ --detach-sign --default-key $ADMIN_ID \
      --armor --output $SIGNATURE_PATH $FILE_PATH
   
   # Check the exit status
   STATUS=$?
   if [ $STATUS -eq 0 ]; then
      echo {\"file\": \"$FILE_PATH\", \"signature\": \"$SIGNATURE_PATH\"}
   else
      exit $STATUS
   fi

   部署私有自动化中心后，向 Ansible Automation Platform 集群启用签名后，新的 UI 会在与集合交互时显示。

2. 查看 Ansible Automation Platform 安装程序清单文件，了解以 automationhub framework 开头的选项。

   [all:vars]
   .
   .
   .
   automationhub_create_default_collection_signing_service = True
   automationhub_auto_sign_collections = True
   automationhub_require_content_approval = True
   automationhub_collection_signing_service_key = /abs/path/to/galaxy_signing_service.gpg
   automationhub_collection_signing_service_script = /abs/path/to/collection_signing.sh

   两个新密钥(automationhub_auto_sign_collections 和 automationhub_require_content_approval)表示必须签名集合，并在上传到私有自动化中心后需要批准。

流程

1. 在自动化中心 UI 中登录到您的私有自动化中心实例。
2. 在左侧导航中，点 Collections → Approval。Approval dashboard 带有集合列表会显示。
3. 对您要签名的每个集合点 Sign and approve。
4. 验证您手动签名和批准的集合是否显示在 Collections 选项卡中。

流程

1. 要将公钥导入到用于 ansible-galaxy 的非默认密钥环中，请运行以下命令：

   gpg --import --no-default-keyring --keyring ~/.ansible/pubring.kbx my-public-key.asc

   注意

   除了自动化中心提供的任何签名外，也可在要求文件和命令行中提供签名源。签名源应当是 URI。

2. 使用 --signature 选项验证 CLI 上提供的集合名称以及其他签名。

   ansible-galaxy collection install namespace.collection
   --signature https://examplehost.com/detached_signature.asc
   --signature file:///path/to/local/detached_signature.asc --keyring ~/.ansible/pubring.kbx

   您可以多次使用这个选项提供多个签名。

3. 确认要求文件中的集合在集合的签名密钥后列出任何其他签名源，如下例所示。

   # requirements.yml
   collections:
     - name: ns.coll
       version: 1.0.0
       signatures:
         - https://examplehost.com/detached_signature.asc
         - file:///path/to/local/detached_signature.asc
   
   ansible-galaxy collection verify -r requirements.yml --keyring ~/.ansible/pubring.kbx

   当您从自动化中心安装集合时，服务器提供的签名会与安装的集合一起保存，以验证集合的真实性。

4. （可选）如果您需要在不查询 Ansible Galaxy 服务器的情况下再次验证集合的内部一致性，请使用 --off 命令行选项运行之前使用的相同命令。