信頼を高めるためにDockerイメージに署名する方法

Docker Hubは、docker trustのすべての機能をサポートします 。プライベートDockerレジストリサーバーを使用している場合は、より複雑なセットアッププロセスが必要です。

レジストリサーバーは、組み込みの署名サポートを提供していません。イメージのプッシュとプルの署名検証を処理する別のDockerNotaryサービスが必要です。 Notaryには、サーバー、署名サービス、およびMySQLデータベースの3つのコンポーネントがあります。レジストリサーバーと同じURLにデプロイする必要があります。

DockerComposeファイルを使用してNotaryを起動して実行できます。

git clone https://github.com/theupdateframework/notary.git
docker-compose up -d

この基本的な展開は、自己署名TLS証明書を使用して実行されます。開発用のみを対象としています。認証局ファイルfixtures/root-ca.crtを信頼する必要があります クライアントが正常に接続できるようになる前に、リポジトリに保存されます。

sudo mkdir -p /usr/share/ca-certificates/extra
sudo cp fixtures/root-ca.crt /usr/share/ca-certificates/extra/notary.crt
sudo update-ca-certificates

上記のコマンドは、証明書ファイルをca-certificatesにコピーします ストレージの場所。 update-ca-certificates すべての証明書をリロードし、システムに公証人の権限を追加します。

本番環境でNotaryを実行する場合は、認証を設定して、許可されたユーザーのみが新しいキーを追加できるようにする必要があります。 NOTARY_AUTH docker-composeを使用してサービスを開始する場合は、環境変数を設定する必要があります 。これは、username:passwordでBase64でエンコードされたクレデンシャルを受け入れます フォーマット。公証人とやり取りするときに、これらを提供するように求められます。

export NOTARY_AUTH=$(echo "username" | base64):$(echo "password" | base64)
docker-compose up -d

これで、公開鍵をNotaryサーバーに追加する準備が整いました。キーはリポジトリごとに追加されます。これにより、画像を相互に分離し、委任されたサードパーティの寄稿者をサポートできます。秘密鍵を使用してコマンドを繰り返すようにさせることで、後で公開権限を持つ他の個人を追加できます。

docker trust signer add your-key-name registry.example.com/my-image

キーのパスフレーズを入力する必要があります。その後、レジストリサーバーで利用できるようになります。

docker trust sign registry.example.com/my-image:latest

export DOCKER_CONTENT_TRUST=1
docker push registry.example.com/my-image:latest

export DOCKER_CONTENT_TRUST=1
docker pull registry.example.com/my-image:latest

{
    "content-trust": {
        "mode": "enforced"
    }
}

docker trust inspect registry.example.com/my-image:latest

docker trust revoke registry.example.com/my-image:latest