Docker Notary服务架构

架构和组件

Notary 客户端从一个或多个（远程）Notary 服务中提取元数据。一些 Notary 客户端会将元数据推送到一个或多个 Notary 服务。

公证服务由公证服务器 和公证签名者组成，公证服务器存储和更新关联数据库中多个可信集合的签名 TUF 元数据文件，以及公证签名者存储公证服务器的私钥和签名元数据。下图说明了这种架构：

根、目标和（有时）快照元数据由客户端生成并签名，客户端将元数据上传到公证服务器。服务器负责：

• 确保任何上传的元数据都是有效的、签名的和自洽的
• 生成时间戳（有时是快照）元数据
• 存储并向客户端提供任何受信任集合的最新有效元数据

公证人签字人负责：

• 将 使用Javascript 对象签名和加密包装 和加密的私有签名密钥存储在 与公证服务器数据库分开的数据库中
• 每当公证服务器请求时使用这些密钥执行签名操作

Notary 客户端、服务器和签名者之间的交互：

1. 公证服务器可选地支持来自使用JWT令牌的客户端的身份验证 。这需要管理访问控制的授权服务器，以及来自该授权服务器的包含用于签署令牌的公钥的证书包。
   如果在 Notary 服务