dockersecurity/notary_autobuilds

Notary自动构建镜像概述

该镜像为Cloud Native Computing Foundation（CNCF）旗下开源项目Notary的自动构建版本，包含服务器与客户端工具，用于运行和交互可信内容集合，解决软件分发中的信任问题（如TLS单一节点妥协风险）。

核心功能

基于The Update Framework（TUF）实现以下关键能力：

• 可生存密钥妥协：通过密钥角色分层设计，降低非根密钥泄露的安全影响；
• 新鲜度保证：时间戳机制防止重放***，确保消费者获取最新有效内容；
• 可配置信任阈值：支持多签名验证，需满足指定数量签名才信任内容；
• 签名委托：允许将部分内容签名权委托给其他签署者，委托信息可验证；
• 兼容现有分发渠道：信任机制不依赖特定交付方式，可集成到任意内容分发流程；
• 支持不信任镜像：元数据可通过任意渠道镜像和分发，不影响信任验证。

使用场景

• 软件更新系统：确保用户获取的更新包真实、未被篡改；
• Docker镜像验证：与Docker Hub结合，验证镜像的完整性和来源可信度；
• 内容发布平台：为文档、代码等数字内容提供签名验证能力。

配置说明与部署示例

本地部署Notary服务（Docker Compose）

1. 克隆仓库：git clone https://github.com/theupdateframework/notary.git
2. 构建并启动服务：

   bash
   cd notary
   docker-compose build
   docker-compose up -d
   

3. 复制配置文件到本地目录：

   bash
   mkdir -p ~/.notary && cp cmd/notary/config.json cmd/notary/root-ca.crt ~/.notary
   

4. 修改hosts文件：添加127.0.0.1 notary-server（若用docker-machine则替换为其IP）。

CLI工具使用

• 从https://github.com/theupdateframework/notary/releases%E8%8E%B7%E5%8F%96%E4%BA%8C%E8%BF%9B%E5%88%B6%E6%96%87%E4%BB%B6%EF%BC%8C%E6%88%96%E8%87%AA%E8%A1%8C%E6%9E%84%E5%BB%BA%EF%BC%9A

  bash
  go get github.com/theupdateframework/notary
  go install -tags pkcs11 github.com/theupdateframework/notary/cmd/notary
  

• 与本地服务交互时，无需指定-s参数（配置文件已包含服务器URL）。

许可证

该项目遵循开源许可证，详情见https://app.fossa.io/projects/git%2Bgithub.com%2Ftheupdateframework%2Fnotary?ref=badge_large%E3%80%82