27、容器安全保障：从签名验证到内核能力定制

容器安全保障：从签名验证到内核能力定制

1. 容器镜像签名验证

1.1 签名验证失败测试

当使用提供的公钥进行签名验证后，镜像成功拉取到本地存储。接下来，我们测试签名验证失败的情况。
- 使签名存储不可用 ：
- 停止暴露签名存储的本地 httpd 服务器：

# podman stop sigstore_server

- 移除之前缓存的镜像以避免误判：

$ podman rmi localhost:5000/custom_httpd

- 再次尝试拉取镜像：

$ podman pull --tls-verify=false localhost:5000/custom_httpd

此时会出现连接拒绝的错误，Podman 尝试连接暴露签名存储的 Web 服务器失败，整个镜像拉取过程被阻止。

• 使用无效公钥验证签名 ：
  • 替换公钥：

$ mv /tmp/pubkey.gpg /tmp/pubkey.gpg.bak 
$ cp