DockerでPDFに署名する（開発者向けチュートリアル

Docker Content Trustを有効にする

Docker Content Trustはデフォルトではオフです。 環境変数DOCKER_CONTENT_TRUSTを1に設定することでオンにできます。

export DOCKER_CONTENT_TRUST=1

export DOCKER_CONTENT_TRUST=1

Notaryリポジトリの初期化

実際にイメージに署名する前に、Notaryサーバーリポジトリを初期化する必要があります。 委託鍵とイメージの署名はその中に格納されます。

docker trust key generate <name>

docker trust key generate <name>

このコマンドは新しい鍵ペアを生成し、プライベートキーをローカルに保存します。

作成された鍵をロードする

docker trust key loadを使用して、Dockerの信頼管理システムに既存のプライベートキーをロードします。 このコマンドは、新しいリポジトリキーをインポートするために使用され、ユーザーが生成したキーまたは他のソースから受け取ったキーをDocker Content Trustの下でイメージに署名するために使用されます。

docker trust key load --name <name> <path-to-public/private-key>

docker trust key load --name <name> <path-to-public/private-key>

下のイメージは対応する公開鍵ファイルを示しています。

Dockerイメージに署名する

単にDockerレジストリにプッシュすることでイメージに署名できます。 Docker Content Trustを有効にした場合、プッシュはイメージに署名します。

docker push <your-registry>/<your-image>:<tag>

docker push <your-registry>/<your-image>:<tag>

Docker Content Trustが有効になっている場合、Dockerはプライベートキーを用いてイメージに署名し、その署名も一緒に出力されます。

署名済みのイメージを検証する

署名されたイメージを検証するには、以下のコマンドを使用します:

docker trust inspect --pretty <your-registry>/<your-image>:<tag>

docker trust inspect --pretty <your-registry>/<your-image>:<tag>

このコマンドは、イメージに関連付けられた署名キーと署名を出力します。

署名キーを管理する

署名キーは、docker trust signersおよびdocker trust signerコマンドを用いて管理できます。

次の署名者を追加するには:

docker trust signer add --key <path-to-key> <signer-name> <your-registry>/<your-image>

docker trust signer add --key <path-to-key> <signer-name> <your-registry>/<your-image>

下の画像は、コンソールにリポジトリキーをIDで追加し、次に署名者が正常に追加されたことを示すメッセージと共にDockerリポジトリに証明書が追加されることを示しています。

カスタム認証局（CA）の使用

カスタムCAを使用する場合は、DockerがこのCAを信頼していることを確認してください。 通常、Dockerの信頼された証明書にCA証明書を配置することが含まれます。

Dockerホストの/etc/docker/certs.d/<your-registry>/ca.crtファイルにCA証明書を貼り付けます。

DockerをTLSで使用

TLSを使ってDockerデーモンを保護するために、サーバーとクライアントの証明書を生成し、Dockerをそれらを使用するように設定します。

<強調>証明書の生成</強調>

必要な証明書を作成するためにOpenSSLを使用します:

openssl genrsa -aes256 -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

openssl genrsa -aes256 -out ca-key.pem 4096
openssl req -new -x509 -days 365 -key ca-key.pem -sha256 -out ca.pem

サーバーとクライアントのキーおよび証明書を生成します。

openssl genrsa -out server-key.pem 4096
openssl req -subj "/CN=your-server" -sha256 -new -key server-key.pem -out server.csr
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem

openssl genrsa -out server-key.pem 4096
openssl req -subj "/CN=your-server" -sha256 -new -key server-key.pem -out server.csr
openssl x509 -req -days 365 -sha256 -in server.csr -CA ca.pem -CAkey ca-key.pem -CAcreateserial -out server-cert.pem

最後に、生成された証明書を正しいディレクトリに配置し、Dockerデーモンの設定を調整してDockerをそれらを使用するように構成します。

Dockerデーモンの構成

生成された証明書を使用するようにDockerデーモンの設定を変更します:

{
  "tls": true,
  "tlsverify": true,
  "tlscacert": "/etc/docker/ca.pem",
  "tlscert": "/etc/docker/server-cert.pem",
  "tlskey": "/etc/docker/server-key.pem",
  "hosts": ["tcp://0.0.0.0:2376", "unix:///var/run/docker.sock"]
}

変更を適用するためにDockerデーモンを再起動します。