如何使用 Podman 签署和分发容器镜像

最新推荐文章于 2024-07-06 11:00:00 发布

w262

最新推荐文章于 2024-07-06 11:00:00 发布

阅读量219

点赞数

分类专栏： podman 文章标签：服务器运维

本文链接：https://blog.csdn.net/weixin_72435491/article/details/126365154

版权

本文介绍了如何使用 Podman 对容器镜像进行签名，以增强安全性，防止中间人攻击。通过创建 GPG 密钥对，结合 Podman 工具将镜像推送到远程注册表，并确保所有系统在拉取时验证签名。过程包括生成 GPG 密钥，创建容器注册表，签名和重新标记镜像，以及配置系统以接受签名。

摘要由CSDN通过智能技术生成

如何使用 Podman 签署和分发容器镜像

签署容器镜像的动机是只信任专门的镜像提供者以减轻中间人 (MITM) 攻击或对容器注册表的攻击。签署图像的一种方法是使用 GNU Privacy Guard ( GPG ) 密钥。这种技术通常与任何符合 OCI 的容器注册表兼容，例如:Quay.io。值得一提的是，OpenShift 集成容器注册表开箱即用地支持这种签名机制，这使得单独的签名存储变得不必要。

从技术角度来看，我们可以利用 Podman 对镜像进行签名，然后再将其推送到远程注册表。之后，所有运行 Podman 的系统都必须配置为从远程服务器检索签名，远程服务器可以是任何简单的 Web 服务器。这意味着在图像拉取操作期间，每个未签名的图像都将被拒绝。但这是如何工作的？

首先，我们必须创建一个 GPG 密钥对或选择一个已经在本地可用的密钥对。要生成新的 GPG 密钥，只需运行gpg --full-gen-key并按照交互式对话框操作。现在我们应该能够验证密钥在本地是否存在：

[root@podman ~]# gpg --full-gen-key
gpg (GnuPG) 2.2.20; Copyright (C) 2020 Free Software Foundation, Inc.
This is free software: you are free to change and redistribute it.
There is NO WARRANTY, to the extent permitted by law.

Please select what kind of key you want:         //请选择您想要的密钥类型：
   (1) RSA and RSA (default)
   (2) DSA and Elgamal
   (3) DSA (sign only)
   (4) RSA (sign only)
  (14) Existing key from card
Your selection? 
RSA keys may be between 1024 and 4096 bits long. //RSA密钥的长度可以在1024到4096位之间。
What keysize do you want? (2048)                 //您想要什么密钥大小？(默认2048)
Requested keysize is 2048 bits
Please specify how long the key should be valid. //请指定密钥的有效期
         0 = key does not expire
      <n>  = key expires in n days
      <n>w = key expires in n weeks
      <n>m = key expires in n months
      <n>y = key expires in n years
Key is valid for? (0) 
Key does not expire at all
Is this correct? (y/N) y

GnuPG needs to construct a user ID to identify your key.  

Real name: wjh0077
Email address: 1@2.c