- 当前位置：首页 >IT科技类资讯 >如何给 Docker 镜像进行安全签名
如何给 Docker 镜像进行安全签名
发布时间：2025-11-05 00:54:38 来源：云智核 作者：IT科技
幸运的镜像进行是，Docker 通过一种称为 Docker 内容信任的安全功能来实现信任机制。
在网络系统之间传输数据时，签名信任是镜像进行一个核心问题。特别是安全，当通过不受信任的签名互联网网络进行通信时，确保系统操作的镜像进行所有数据的完整性和可信任的发布者，是安全至关重要的。
1. 信任机制
介绍 DCT 到底是签名什么，其作用是镜像进行为了干什么！
Docker Content Trust(DCT)提供了对从远程 Docker 仓库上传和下载的安全镜像文件，使用数字签名的签名能力，其能够保证镜像文件的镜像进行完整性和发布者的可信性。DCT 通过 Docker 标签对镜像文件是安全否进行签名进行区分，镜像发布者可以自行决定在哪些标签上进行签名。签名
DCT 实现的云南idc服务商是客户端的签名和验证，意味着由 Docker 客户端执行它们。显然，类似这样的密码机制，对于确保在互联网上拉取和推送的软件的可信性是非常重要的，其在整个技术栈的各个层次，以及软件交付流水线的各个环节都在发挥越来越重要的作用。
在Docker中进行镜像签名
2. 镜像签名
介绍对镜像文件进行签名，秘钥使用流程和关系！
镜像标签的信任是，通过使用签名密钥来管理的。第一次使用 DCT 来操作时，将创建密钥集，由以下类密钥组成：
根密钥 - root key 它用于创建和签名新的库密钥，因此应该被妥善保管 an offline key that is the root of DCT for an image tag 库密钥 - 标签密钥 - repository key 用于对需要推送到指定镜像库的打标签的镜像进行签名 repository or tagging keys that sign tags 时间戳密钥 - timeStamp key 它被保存在远程镜像库中，用于一些更加高级的使用场景以确保时效性 server-managed keys such as the timestamp key, which provides freshness security guarantees for your repository
在Docker中进行镜像签名
下图描述了各种签名密钥及其关系，b2b信息网但需要注意的是根密钥的丢失是很难恢复的，所以应该将根密钥备份到一个安全的地方。
在Docker中进行镜像签名
3. 初次使用
使用我们自建的 notary(一个用于建立内容之间信任的平台)服务进行容器签名
在 Docker CLI 中，我们可以使用 docker trust 命令对容器文件进行签名和推送。但是需要注意的是，必须要部署一个公证服务器(notary)才可以对容器镜像进行签名。
复制# Notary Server$ gitclone https://github.com/theupdateframework/notary.git
$ docker-compose up -d1.2.3.
在Docker中进行镜像签名
要签名一个 Docker 镜像，需要一个密钥对，其可以使用命令在本地生成(默认情况下存储在 ~/.docker/trust/ 中)，也可以由来自证书机构。
复制# 本地生成$ dockertrust key generate point_me
Generating key forpoint_me...
Enter passphrase fornew point_me key with ID 9deed25:
Repeat passphrase fornew point_me key with ID 9deed25:
Successfully generated and loaded private key.
# 使用已有$ docker trust key load key.pem --namepoint_me
Loading key from "key.pem"...
Enter passphrase fornew point_me key with ID 8ae710e:
Repeat passphrase fornew point_me key with ID 8ae710e:
Successfully imported key from key.pem
1.2.3.4.5.6.7.8.9.10.11.12.接下来，我们将公钥添加到公证服务器上。如果是第一次执行的话，需要输入一些相关信息，才可以使用。
复制$ docker trust signer add --keycert.pem point_me registry.example.com/admin/demo
Adding signer "point_me"to registry.example.com/admin/demo...
Enter passphrase fornew repository key with ID 10b5e94:
1.2.3.最后，我们将使用私钥对特定镜像文件的标签进行签名，并将其推到仓库中去。
复制# 签名$ dockertrust sign registry.example.com/admin/demo:1
Signing and pushing trust data forlocal image registry.example.com/admin/demo:1, may overwrite remote trust data
The push refers to repository [registry.example.com/admin/demo]
7bff100f35cb: Pushed
1: digest: sha256:3d2e482b82608d153a374df3357c0291589a61cc194ec4a9ca2381073a17f58e size: 528Signing and pushing trust metadata
Enter passphrase forsigner key with ID 8ae710e:
Successfully signed registry.example.com/admin/demo:1
1.2.3.4.5.6.7.8.9. 复制# 启用$ export DOCKER_CONTENT_TRUST=1# 推送$ dockerpush registry.example.com/admin/demo:1
The push refers to repository [registry.example.com/admin/demo:1]
7bff100f35cb: Pushed
1: digest: sha256:3d2e482b82608d153a374df3357c0291589a61cc194ec4a9ca2381073a17f58e size: 528Signing and pushing trust metadata
Enter passphrase forsigner key with ID 8ae710e:
Successfully signed registry.example.com/admin/demo:1
# 查看$ docker trust inspect --prettyregistry.example.com/admin/demo:1
# 删除远程服务器对该镜像的香港云服务器信任$ dockertrust revoke registry.example.com/admin/demo:1
Enter passphrase forsigner key with ID 8ae710e:
Successfully deleted signature forregistry.example.com/admin/demo:1
1.2.3.4.5.6.7.8.9.10.11.12.13.14.15.16.Docker 客户端默认禁用镜像签名，如果希望启用，则将 DOCKER_CONTENT_TRUST 环境变量设置为 1 即可。这将阻止用户使用带有非签名的图像文件，对应对应的客户端命令，比如 push、build、create、pull 和 run。
复制# 拉取失败$ dockerpull registry.example.com/user/image:1
Error: remote trust data does not exist for registry.example.com/user/image: registry.example.com does not have trust data forregistry.example.com/user/image
# 拉取成功$ dockerpull registry.example.com/user/image@sha256:d149ab53f8718e987c3a3024bb8aa0e2caadf6c0328f1d9d850b2a2a67f2819a
sha256:ee7491c9c31db1ffb7673d91e9fac5d6354a89d0e97408567e09df069a1687c1: Pulling from user/image
ff3a5c916c92: Pull complete
a59a168caba3: Pull complete
Digest: sha256:ee7491c9c31db1ffb7673d91e9fac5d6354a89d0e97408567e09df069a1687c1
Status: Downloaded newer image forregistry.example.com/user/image@sha256:ee7491c9c31db1ffb7673d91e9fac5d6354a89d0e97408567e09df069a1687c1
1.2.3.4.5.6.7.8.9.10.4. 使用示例
直接基于 hub.docker 仓库服务进行操作！
下面通过一个简单的配置 DCT 的实战例子予以阐述。我们需要一个 Docker 客户端和一个用来推送镜像的库，Docker Hub 上的镜像库即可。
复制# 启用特性$ exportDOCKER_CONTENT_TRUST
# 登录hub.docker仓库$ dockerlogin
# 对镜像打标签并推送到目标镜像库$ dockerimage tag alpine:latest escape/dockerbook:v1
# 推送打了新标签的镜像# 在签名时会创建两个密钥，根密钥和库密钥$ dockerimage push nigelpoulton/dockerbook:v1
# 在拉取镜像时使用如下命令来覆盖DCT设置$ docker image pull --disable-content-trustnigelpoulton/dockerbook:unsigned
# 尝试运行未签名的镜像容器$ docker container run -d --rmnigelpoulton/dockerbook:unsigned
docker: No trust data forunsigned.
1.2.3.4.5.6.7.8.9.10.11.12.13.14.5. 参考链接
Content trust in Docker Deploy Notary Server with Compose 容器镜像签名- ROG显卡安装教程（ROG显卡安装教程及注意事项，助你提升游戏体验）
- 探索7P屏幕的无限可能（领先科技让世界更美好）
- 三星大器三的卓越表现（突破创新、引领未来的关键）
- GTX990M显卡（揭秘GTX990M显卡的惊人性能与卓越特点）
- 用彩纸打造趣味电脑教程（彩纸DIY教程，让电脑知识更有趣）
- 小米曲屏怎么样？解析小米曲屏的特点与优势（一览小米曲屏的创新设计与出色性能，带给用户全新视觉体验）
- 樱花热水器的优势与特点（品质可靠，智能节能，独具创新）
- 电脑风扇支架坏了会带来哪些问题？（解析电脑风扇支架损坏的影响与解决方法）
- 如何通过手机操作更改腾达路由器密码（简单操作，轻松保护网络安全）
- 小麦笔记本——轻薄高性能的理想选择（为你带来前所未有的便捷办公体验）
- 毛桃Pe系统教程（打造专属于你的电脑系统，让操作更高效、更顺心）
- 马婧（她的故事与成就，激励着无数年轻人奋发向前）
- 金立M6手机评测——完美融合性能与设计的力作（金立M6手机）
- 联想Y700游戏本体验报告（探索联想Y700游戏本的性能和功能）
- 激光印章教程（用激光印章为电脑增添独特魅力）
- 显卡i卡性能如何？（全面评估i卡在游戏和多媒体领域的表现）
- 炫彩香槟（绽放生活乐趣的香槟佳酿，用颜色点缀美好时刻）
- e路航M70DVR——颠覆驾驶记录仪的新一代力作（高清画质、智能辅助驾驶，开启安全驾驶新时代）
- 华硕U盘安装教程（通过华硕U盘安装系统，解决电脑系统问题的利器）
- B350PLUS性能评测及使用指南（探索B350PLUS主板的卓越性能和出色功能，助你构建高效电脑系统）
随便看看
- Copyright © 2025 Powered by 如何给 Docker 镜像进行安全签名,云智核 滇ICP备2023006006号-28sitemap