kumahq/notary

kuma中央镜像签名仓库

镜像概述和主要用途

该镜像作为中央化的镜像签名仓库，专门用于集中管理和存储所有已生成的kuma Docker镜像的签名信息。其核心价值在于确保kuma系列镜像的完整性与真实性，提供统一的签名存储与验证机制，是kuma镜像安全分发和部署的关键组件。

核心功能和特性

• 集中化签名管理：统一存储所有kuma Docker镜像的数字签名，避免分散存储导致的管理混乱
• 完整性验证支持：提供签名验证接口，确保部署的kuma镜像与原始构建版本一致，未被篡改
• 原生kuma兼容性：专为kuma系列镜像设计，完美适配kuma镜像的构建和分发流程
• 持久化存储：支持签名数据的持久化保存，确保服务重启或迁移后签名信息不丢失

使用场景和适用范围

• 企业级kuma部署：在多环境、多版本kuma部署场景中，提供统一的签名追溯能力
• 安全合规需求：满足***、政务等对镜像来源和完整性有严格合规要求的场景
• CI/CD流水线集成：作为kuma镜像构建流水线的末端环节，自动存储构建完成的镜像签名
• 多团队协作：在多个团队共同维护kuma镜像时，提供一致的签名管理规范和访问入口

使用方法和配置说明

基础部署命令

bash
docker run -d \
  --name kuma-signature-repo \
  -p 8080:8080 \
  -v /host/path/to/signatures:/var/lib/kuma-signatures \
  --restart unless-stopped \
  kuma/signature-repo:latest

核心配置参数

环境变量配置

签名管理操作示例

1. 存储kuma镜像签名

bash
# 假设已生成kuma镜像签名文件signature.json
curl -X POST http://localhost:8080/api/v1/signatures \
  -H "Content-Type: application/json" \
  -d @signature.json

2. 查询指定镜像签名

bash
curl http://localhost:8080/api/v1/signatures?image=kuma/control-plane:1.8.0

3. 验证镜像签名

bash
curl -X POST http://localhost:8080/api/v1/verify \
  -H "Content-Type: application/json" \
  -d '{"image": "kuma/control-plane:1.8.0", "signature": "<signature-content>"}'

数据持久化说明

为确保签名数据不丢失，必须通过-v参数挂载本地目录到容器内/var/lib/kuma-signatures路径。建议使用分布式存储（如NFS、Ceph）挂载该目录，以支持多实例部署和高可用性。