23、Helm 安全考量与稳定开发指南

Helm 安全考量与稳定开发指南

1. Helm 验证机制

Helm 验证是确保 Helm chart 来源可信且内容未被篡改的重要手段。当执行验证操作时，如果验证成功，会显示签名者、签名者的公钥和 chart 均已通过验证；若验证失败，则会返回错误。验证失败可能由以下多种原因导致：
- .tgz 和 .tgz.prov 文件不在同一目录。
- .tgz 或 .tgz.prov 文件损坏。
- 文件哈希不匹配，表明内容完整性受损。
- 用于解密签名的公钥与最初加密时使用的私钥不匹配。

helm verify 命令旨在对本地下载的 chart 进行验证，但用户也可以选择使用 helm install --verify 命令，该命令可在一个命令中完成验证和安装操作，前提是 .tgz 和 .tgz.prov 文件都能从 chart 仓库中下载。示例命令如下：

$ helm install guestbook <chart_repo>/guestbook --verify --keyring ~/.gnupg/pubring.gpg

2. 开发安全稳定的 Helm chart

2.1 使用安全的容器镜像

2.1.1 标签与摘要的区别

容