原文地址

在聯網系統間傳輸資料時，信任是一個核心問題。特別是，當通過網際網路等不可信介質進行通訊時，確保系統執行的所有資料的完整性和釋出者至關重要。使用 Docker Engine 可以將映象（資料）推送到公共或私有 registry。內容信任使你能夠驗證通過任何通道從 registry 接收的所有資料的完整性和釋出者。

1. 關於 Docker 中的信任

內容信任允許使用遠端 Docker registry 執行操作，以強制客戶端對映象的標記進行簽名和驗證。內容信任提供了使用數字簽名來收發遠端 Docker registry 資料的能力。這些簽名允許客戶端驗證特定映象標籤的完整性和釋出者。

目前，內容信任被預設禁用。要啟用它，請將 DOCKER_CONTENT_TRUST 環境變數設定為 1。請參閱 Docker 客戶端的 環境變數 和 Notary 配置以獲取更多選項。

一旦啟用內容信任，映象釋出者就可以對其映象進行簽名。映象消費者可以確保他們使用的映象已經經過簽名。釋出者和消費者可以是單獨的個人或組織中的個人。Docker 的內容信任支援使用者和自動化程序，如構建。

當啟用內容信任時，如果你使用 Docker CE，則在客戶端進行推送和驗證後，在客戶端上進行簽名。如果將 Docker EE 與 UCP 一起使用，並且已將 UCP 配置為要求在部署之前對映象進行簽名，則簽名將由 UCP 進行驗證。

1.1 映象標籤和內容信任

單個映象記錄具有以下識別符號：

[REGISTRY_HOST[:REGISTRY_PORT]/]REPOSITORY[:TAG]

一個特定的映象 REPOSITORY 可以有多個標籤。例如，latest 和 3.1.2 都是 mongo 映象上的標籤。映象釋出者可以在每次構建時多次更改映象來構建映象和標籤組合。

內容信任與映象的 TAG 部分相關聯。每個映象倉庫都有一組給映象釋出者使用的用於簽署映象標籤的金鑰。映象釋出者可以自行決定簽署哪些標籤。

映象儲存庫可以包含同時具有已簽名標籤和未簽名標籤的映象。例如，考慮 Mongo 映象倉庫。latest 標籤是未簽名的，而 3.1.6

映象釋出者可以選擇是否簽名特定標籤。這將導致未簽名標籤的內容與同名的已簽名標籤的內容可能不匹配。例如，映象釋出者可以將已經標記的映象推送到 someimage:latest 並簽名。稍後，同一個釋出者可以推送未簽名的 someimage:latest 映象。第二次推送替換 latest 未簽名標籤，但不會影響已簽名的 latest 版本。可以自由選擇為哪個標籤簽名，使得映象釋出者可以在正式簽名之前迭代未簽名的映象版本。

映象使用者可以啟用內容信任以確保他們使用的映象已被簽名。如果使用者啟用內容信任，則只能使用受信任的映象進行 pull，run 或 build。啟用內容信任就像戴著一副有色眼鏡。使用者“看到”只有簽名的映象標籤，不想要的、未簽名的映象標籤對他們來說是“不可見的”。

對於尚未啟用內容信任的消費者，可以正常使用所有的 Docker 映象。無論是否簽名，每個映象都可見。

1.2 內容信任操作和金鑰

啟用內容信任時，對標記映象執行操作的 docker CLI 命令必須具有內容簽名或顯式內容雜湊。與內容信任一起執行的命令是：

• push
• build
• create
• pull
• run

例如，開啟內容信任後，docker pull someimage:latest 命令只有在 someimage:latest 確實被簽名時才會成功執行。然而，附帶顯式內容雜湊的操作只要雜湊在匹配就會成功執行。

$ docker pull someimage@sha256:d149ab53f8718e987c3a3024bb8aa0e2caadf6c0328f1d9d850b2a2a67f2819a

對映象標籤的信任通過使用簽名金鑰來管理。首次呼叫使用內容信任的操作時會建立金鑰集。金鑰集由以下幾類金鑰組成：

• 作為映象標記的內容信任的根的離線金鑰
• 簽名標籤的倉庫或標籤金鑰
• 伺服器管理的金鑰，如時間戳金鑰，為倉庫提供最新的安全保證

下圖描述了各種簽名金鑰及其關係：

警告：丟失根金鑰非常難以恢復。糾正這種損失需要 Docker 支援人員的干預來重置倉庫狀態。這種損失還需要所有使用此倉庫中的簽名標記的使用者在丟失之前進行手動干預。

應該將根金鑰備份到安全的地方。鑑於根金鑰僅用於建立新的倉庫，最好將其離線儲存在硬體中。有關保護和備份金鑰的詳細資訊，請務必閱讀 如何為內容信任管理金鑰。

2. 典型內容信任操作

本節將學習使用 Docker 映象執行的典型可信操作。具體來說，我們通過以下步驟來幫助我們執行這些可信操作：

• Build 並 push 未簽名映象
• Pull 未簽名映象
• Build 並 push 簽名映象
• Pull 之前 push 的簽名映象
• Pull 之前 push 的未簽名映象

2.1 啟用和禁用每個 shell 或每個呼叫的內容信任

在 shell 中，可以通過設定 DOCKER_CONTENT_TRUST 環境變數來啟用內容信任。在每個 shell 中啟用是非常有用的，因為可以為可信操作配置一個 shell，為不可信操作配置另一個終端 shell。還可以將此宣告新增到 shell 配置檔案中，以便預設情況下始終開啟它。

要在 bash shell 中啟用內容信任，請輸入以下命令：

export DOCKER_CONTENT_TRUST=1

一旦設定，每個“tag”操作都需要一個用於獲取可信 tag 的金鑰。

在設定了 DOCKER_CONTENT_TRUST 環境變數的環境中，可以通過 --disable-content-trust 標誌關閉內容信任後在標記映象上執行單獨的操作。

看看使用不受信任的父映象的 Dockerfile：

$  cat Dockerfile
FROM docker/trusttest:latest
RUN echo

要通過這個 Dockerfile 成功構建容器，可以這麼做：

$  docker build --disable-content-trust -t <username>/nottrusttest:latest .
Sending build context to Docker daemon 42.84 MB
...
Successfully built f21b872447dc

其他命令的操作都類似：

$  docker pull --disable-content-trust docker/trusttest:latest
...
$  docker push --disable-content-trust <username>/nottrusttest:latest
...

要在呼叫命令時開啟內容信任，而不管 DOCKER_CONTENT_TRUST 環境變數是如何設定的：

$  docker build --disable-content-trust=false -t <username>/trusttest:testing .

所有受信任的操作都支援 --disable-content-trust 標誌。

2.2 推送可信的內容

要為特定映象標記建立簽名內容，只需啟用內容信任並推送標記的映象即可。如果這是第一次在系統上使用內容信任推送映象，則會話如下所示：

$ docker push <username>/trusttest:testing
The push refers to a repository [docker.io/<username>/trusttest] (len: 1)
9a61b6b1315e: Image already exists
902b87aaaec9: Image already exists
latest: digest: sha256:d02adacee0ac7a5be140adb94fa1dae64f4e71a68696e7f8e7cbf9db8dd49418 size: 3220
Signing and pushing trust metadata
You are about to create a new root signing key passphrase. This passphrase
will be used to protect the most sensitive key in your signing system. Please
choose a long, complex passphrase and be careful to keep the password and the
key file itself secure and backed up. It is highly recommended that you use a
password manager to generate the passphrase and keep it safe. There will be no
way to recover this key. You can find the key in your config directory.
Enter passphrase for new root key with id a1d96fb:
Repeat passphrase for new root key with id a1d96fb:
Enter passphrase for new repository key with id docker.io/<username>/trusttest (3a932f1):
Repeat passphrase for new repository key with id docker.io/<username>/trusttest (3a932f1):
Finished initializing "docker.io/<username>/trusttest"

開啟內容信任後第一次推送標記映象時，docker 客戶端會識別出這是你第一次推送，並且會：

• 警告你這會建立一個新的根金鑰
• 請求根金鑰的密碼
• 在 ~/.docker/trust 目錄中生成一個根金鑰
• 請求倉庫金鑰的密碼
• 在 ~/.docker/trust 目錄中生成一個倉庫金鑰

為根金鑰和儲存庫金鑰對選擇的密碼應隨機生成並存儲在密碼管理器中。

注意：如果省略 testing 標記，則跳過內容信任。即使啟用了內容信任，即使這是第一次推送，情況也是如此。

$ docker push <username>/trusttest
The push refers to a repository [docker.io/<username>/trusttest] (len: 1)
9a61b6b1315e: Image successfully pushed
902b87aaaec9: Image successfully pushed
latest: digest: sha256:a9a9c4402604b703bed1c847f6d85faac97686e48c579bd9c3b0fa6694a398fc size: 3220
No tag specified, skipping trust metadata push

它被跳過，因為訊息指出，你沒有提供映象 TAG 值。在 Docker 內容信任中，簽名與標籤相關聯。

一旦在系統上擁有 root 金鑰，建立的後續映象倉庫就可以使用相同的 root 金鑰：

$ docker push docker.io/<username>/otherimage:latest
The push refers to a repository [docker.io/<username>/otherimage] (len: 1)
a9539b34a6ab: Image successfully pushed
b3dbab3810fc: Image successfully pushed
latest: digest: sha256:d2ba1e603661a59940bfad7072eba698b79a8b20ccbb4e3bfb6f9e367ea43939 size: 3346
Signing and pushing trust metadata
Enter key passphrase for root key with id a1d96fb:
Enter passphrase for new repository key with id docker.io/<username>/otherimage (bb045e3):
Repeat passphrase for new repository key with id docker.io/<username>/otherimage (bb045e3):
Finished initializing "docker.io/<username>/otherimage"

新映象具有自己的倉庫金鑰和時間戳金鑰。latest 標籤用這兩個標籤簽名。

2.3 獲取映象內容

使用映象的常用方法是 pull 映象。啟用內容信任後，Docker 客戶端僅允許 docker pull 檢索已簽名的映象。讓我們試著獲取你之前簽名和推送的映象：

$  docker pull <username>/trusttest:testing
Pull (1 of 1): <username>/trusttest:[email protected]:d149ab53f871
...
Tagging <username>/[email protected]:d149ab53f871 as docker/trusttest:testing

下面的例子中，命令沒有指定 tag，所以系統使用預設的 latest tag，但是 docker/trusttest:latest 並沒有簽名。

$ docker pull docker/trusttest
Using default tag: latest
no trust data available

因為 docker/trusttest:latest沒有簽名，所以 pull 失敗。