imgcrypt 开源项目安装与使用指南

imgcrypt 开源项目安装与使用指南

imgcryptOCI Image Encryption Package项目地址:https://gitcode.com/gh_mirrors/im/imgcrypt

---

1. 项目目录结构及介绍

imgcrypt 是一个围绕容器加密的非核心子项目，它依赖于ocicrypt库进行图像层的加密功能。下面是其主要的目录结构概述：

github/workflows         - CI/CD 工作流程配置
cmd                      - 包含可执行命令的相关代码，如解密工具等
images/encryption        - 可能涉及的加密相关镜像或资源
script                   - 安装或脚本操作相关的文件
gitignore                - 忽略文件列表
golangci.yml             - Golang CI检查配置
CHANGES                  - 版本更新日志
LICENSE                  - 许可证文件，遵循Apache-2.0协议
MAINTAINERS              - 维护者名单
Makefile                 - 构建与安装规则
README.md                - 项目简介与快速入门文档
go.mod                   - Go模块文件，定义依赖关系
go.sum                   - 自动生成的Go依赖校验文件
payload.go               - 涉及处理负载的具体实现代码

每个目录或文件都有其特定的职责，比如cmd中存放的是用于容器镜像加密和解密的命令行工具，而Makefile则是项目构建的核心指导文件。

---

2. 项目的启动文件介绍

imgcrypt本身并不直接提供一个“启动文件”，因为它不是一个独立运行的应用服务。但在使用场景中，关键在于如何集成到containerd中并配置相应的插件来支持加密功能。配置containerd以使用imgcrypt通常涉及到修改或创建一个containerd的配置文件（例如config.toml），并在其中启用和配置oci加密流处理器。

示例配置片段展示如何在containerd中启用加密支持：

version = 2
disabled_plugins = ["io.containerd.grpc.v1.cri"]
root = "/tmp/var/lib/containerd"
state = "/tmp/run/containerd"
[grpc]
  uid = 0
  gid = 0
[stream_processors]
  [stream_processors."io.containerd.ocicrypt.decoder.v1.tar.gz"]
    accepts = ["application/vnd.oci.image.layer.v1.tar+gzip+encrypted"]
    returns = "application/vnd.oci.image.layer.v1.tar+gzip"
    path = "/usr/local/bin/ctd-decoder"
    args = ["--decryption-keys-path", "/etc/containerd/ocicrypt/keys"]
    env = ["OCICRYPT_KEYPROVIDER_CONFIG=/etc/containerd/ocicrypt/ocicrypt_keyprovider.conf"]
  
  ... (另一个解压缩器配置)

这段配置需被插入到containerd的配置文件中，然后重启containerd服务以应用这些更改。

---

3. 项目的配置文件介绍

对于imgcrypt，虽然没有直接的项目配置文件，但关键的配置环节发生在containerd的配置层面，特别是涉及到加密解密过程的流处理器设置。配置文件通常指的是containerd的配置文件(config.toml)，通过这个文件你可以控制imgcrypt与containerd的集成程度，包括：

• Stream Processors配置项，这是直接与imgcrypt功能相关联的部分，用于指定解密逻辑的路径、参数等。
• 确保disabled_plugins可能需要调整，以便禁用不必要的插件且确保加密插件可以正确加载。
• 关键环境变量和路径设置（如OCICRYPT_KEYPROVIDER_CONFIG）保证了正确的密钥管理和服务路径。

完成上述配置后，还需要确保相关的解码工具（如ctd-decoder）位于指定路径下，以及必要的密钥管理和配置文件准备就绪，以此确保加密和解密功能能够顺利运作。重启containerd服务后，imgcrypt即可与其协同工作，支持加密容器镜像的操作。

imgcryptOCI Image Encryption Package项目地址:https://gitcode.com/gh_mirrors/im/imgcrypt