具有内容信任的自动化

将 Docker Content Trust 构建到现有自动化系统中是很常见的。为了允许工具包装 Docker 并推送可信内容，可以将环境变量传递到客户端。

本指南遵循使用 Docker Content Trust 对映像进行签名中所述的步骤 。确保您理解并遵守先决条件。

当直接使用 Notary 客户端时，它使用自己 的一组环境变量。

添加委托私钥

为了自动将委托私钥导入本地 Docker 信任存储，我们需要传递新密钥的密码。每次委托签署标签时都需要此密码。

$ export DOCKER_CONTENT_TRUST_REPOSITORY_PASSPHRASE="mypassphrase123"

$ docker trust key load delegation.key --name jeff
Loading key from "delegation.key"...
Successfully imported key from delegation.key

添加委托公钥

如果您在添加委托公钥的同时初始化存储库，则您将需要使用本地公证规范根密钥的密码来创建存储库信任数据。如果存储库已经启动，那么您只需要存储库密码。

# Export the Local Root Key Passphrase if required.
$ export DOCKER_CONTENT_TRUST_ROOT_PASSPHRASE="rootpassphrase123"

# Export the Repository Passphrase
$ export DOCKER_CONTENT_TRUST_REPOSITORY_PASSPHRASE="repopassphrase123"

# Initialise Repo and Push Delegation
$ docker trust signer add --key delegation.crt jeff registry.example.com/admin/demo
Adding signer "jeff" to registry.example.com/admin/demo...
Initializing signed repository for registry.example.com/admin/demo...
Successfully initialized "registry.example.com/admin/demo"
Successfully added signer: registry.example.com/admin/demo

签署图像

最后，在对图像进行签名时，我们需要导出签名密钥的密码。这是在将密钥加载到本地 Docker 信任存储时创建的$ docker trust key load。

$ export DOCKER_CONTENT_TRUST_REPOSITORY_PASSPHRASE="mypassphrase123"

$ docker trust sign registry.example.com/admin/demo:1
Signing and pushing trust data for local image registry.example.com/admin/demo:1, may overwrite remote trust data
The push refers to repository [registry.example.com/admin/demo]
428c97da766c: Layer already exists
2: digest: sha256:1a6fd470b9ce10849be79e99529a88371dff60c60aab424c077007f6979b4812 size: 524
Signing and pushing trust metadata
Successfully signed registry.example.com/admin/demo:1

建立内容信任

您还可以建立内容信任。在运行命令之前，您应该手动或以脚本方式docker build设置环境变量。DOCKER_CONTENT_TRUST考虑下面的简单 Dockerfile。

# syntax=docker/dockerfile:1
FROM docker/trusttest:latest
RUN echo

该FROM标签正在拉取签名图像。您无法构建FROM本地不存在或未签名的映像 。鉴于 tag 存在内容信任数据latest，以下构建应该成功：

$  docker build -t docker/trusttest:testing .
Using default tag: latest
latest: Pulling from docker/trusttest

b3dbab3810fc: Pull complete
a9539b34a6ab: Pull complete
Digest: sha256:d149ab53f871

如果启用了内容信任，则从依赖于标签而没有信任数据的 Dockerfile 进行构建会导致构建命令失败：

$  docker build -t docker/trusttest:testing .
unable to process Dockerfile: No trust data for notrust