容器签名

版本限制

• 包年包月服务：旗舰版（若当前版本不支持，请进行升级）。

  说明

  服务器的防护版本必须设置为当前所购买的版本，具体操作请参见绑定服务器防护版本。

• 按量付费服务：已开通主机及容器安全按量付费（若未开通，请前往购买）。

  说明

  服务器需设置防护等级为主机及容器安全，具体操作请参见绑定服务器防护等级。

前提条件

• 已创建了非对称加密算法的KMS密钥。 有关创建KMS密钥的详细内容，请参见管理密钥。

  重要

  由于非对称密钥算法才支持容器签名功能，创建KMS密钥时，选择证书必须选择RSA_2048，密钥用途必须选择SIGN/VERIFY。关于KMS密钥算法的详细内容，请参见KMS支持的算法规格说明。

• 已创建了 Kubernetes 集群，并且集群已安装了 kritis-validation-hook 组件。

  说明

  • 创建 Kubernetes 集群的具体操作，请参见创建 ACK 专有集群（已停止新建）。

  • 有关 kritis-validation-hook 组件的更多信息，请参见kritis-validation-hook 组件介绍。

• 首次使用容器签名，需要先完成云资产访问授权。在云安全中心控制台，选择容器签名，单击去授权按钮进行授权操作。

操作步骤

1. 登录云安全中心控制台。

2. 在左侧导航栏选择防护配置 > 容器防护 > 容器签名。

3. 可选：在证明者页签中创建证明者。

   如果您已创建过证明者，可直接进入下一步骤。

   您可在证明者页签中单击创建证明者，完成配置后单击确定，完成证明者的创建。

   配置项	说明
   证明者名称	配置容器签名安全策略时需要选择证明者，用于对您的目标容器进行可信授权。建议输入便于识别的名称。
   选择证书	在证书列表中选择您已创建的KMS密钥。
   描述	输入该证明者的备注信息。

4. 在安全策略页签中，单击添加策略，完成配置后并单击确定，完成策略的创建。

   配置项	说明
   策略名称	配置签名安全策略时需要选择证明者，用于对您的目标集群进行可信授权。 建议输入便于识别的名称。
   证明者	在证明者列表中选择您已创建的证明者。
   应用集群	单击需要进行容器签名的集群分组后，选中目标集群命名空间。
   策略开启状态	单击开关，创建策略后策略会立即启用。 说明 默认不开启策略。策略如果未开启将不会生效。
   备注	输入安全策略的备注信息。

   成功创建并启用容器签名安全策略后，在容器镜像服务控制台中，已开启安全策略的容器镜像会标识为已加签。

相关文档

使用容器镜像服务ACR（Container Registry）、密钥管理服务KMS（Key Management Service）、kritis-validation-hook组件结合云安全中心（Security Center）可实现自动验证容器镜像签名，确保只部署可信授权方签名的容器镜像，降低在您环境中发生意外或恶意代码的风险。具体内容，请参见使用kritis-validation-hook组件实现自动验证容器镜像签名。