harness/gitops-agent

Docker镜像仓库签名说明

1. 镜像概述

本Docker镜像仓库已通过数字签名机制进行验证，旨在确保镜像在分发、存储和使用过程中的完整性与来源可靠性。签名机制可有效防止镜像被***篡改，保障用户从仓库获取的镜像与原始发布版本一致，提升软件供应链安全。

2. 核心功能与特性

2.1 签名验证机制

• 采用行业标准的数字签名算法（如RSA、ECDSA等）对镜像进行签名，确保镜像内容未被非法修改。
• 签名信息与镜像元数据绑定，支持自动或手动验证流程。

2.2 来源可信认证

• 通过签名验证镜像发布者身份，确保镜像来源于官方或授权渠道，降低使用未知来源镜像的安全风险。

2.3 安全分发保障

• 在镜像拉取、推送和部署全流程中提供签名校验能力，构建可信的镜像供应链体系。

3. 使用场景与适用范围

• 企业级生产环境：适用于对应用部署安全性有严格要求的企业，保障核心业务系统镜像的可信度。
• 高安全性场景：如***、、政务等对数据安全和合规性要求较高的领域，防止镜像引入安全漏洞。
• 软件供应链安全管理：作为软件供应链安全防护的一环，满足组织对开源或第三方组件的安全审计需求。

4. 使用方法与配置说明

4.1 签名验证前提条件

• 确保本地Docker环境支持镜像签名验证（推荐Docker Engine 1.13.0及以上版本）。
• 若使用Docker Content Trust (DCT)，需提前配置DCT环境（通过环境变量DOCKER_CONTENT_TRUST=1启用）。

4.2 自动验证流程

当启用Docker Content Trust后，拉取仓库镜像时将自动验证签名：

bash
# 启用Docker Content Trust
export DOCKER_CONTENT_TRUST=1

# 拉取镜像（自动验证签名）
docker pull [镜像仓库地址]/[镜像名称]:[标签]

若签名验证失败，拉取操作将被拒绝并提示错误信息。

4.3 手动验证签名（可选）

若需手动验证镜像签名，可使用docker trust命令：

bash
# 查看镜像签名信息
docker trust inspect --pretty [镜像仓库地址]/[镜像名称]:[标签]

# 验证镜像签名完整性
docker trust verify [镜像仓库地址]/[镜像名称]:[标签]

5. 注意事项

• 签名验证仅保障镜像本身的完整性和来源，仍需结合镜像内容扫描（如漏洞检测）等措施全面提升安全性。
• 若镜像仓库更换签名密钥，需及时更新本地信任配置，避免验证失败。