Signering af et chart med helm package --sign

Du signerer et chart i samme trin, som du pakker det. Når du tilføjer --sign til helm package, oprettes både .tgz-filen og den tilhørende .prov-fil samtidig.

Signering kræver en privat GPG-nøgle. Hvis du ikke har en, skal du generere den med gpg, før du forsøger at signere et chart.

Fortæl Helm, hvilken identitet der skal bruges med --key, ved at angive et navn eller en e-mailadresse, der matcher en privat nøgle i din nøglering.

Helm læser nøgler fra en binær nøgleringsfil. Brug --keyring til at pege på den, ofte din fil med eksporterede hemmelige nøgler.

GPG 2.1+ fjernede den gamle secring.gpg. Eksportér dine hemmelige nøgler til en fil, som Helm kan læse, før du signerer.

Helm beregner hashværdien for det nybyggede .tgz-arkiv, tilføjer chartets metadata og pakker det hele ind i en signatur, der er oprettet med din private nøgle.

Hvis din nøgle er beskyttet, beder Helm om dens adgangssætning under signeringen. Det låser den private nøgle op, lige længe nok til at signere.

En vellykket signeret pakke skriver arkivet og den tilhørende .prov-fil side om side. Begge navngives efter chartet og versionen.

Brug helm verify på det netop signerede arkiv for at bekræfte, at .prov-filen er gyldig, før du publicerer noget.

Andre verificerer med din offentlige nøgle, ikke din private. Eksportér og publicér den, så forbrugere kan stole på dine signaturer.

I CI skal du undgå interaktive forespørgsler ved at bruge en nøgle med en kendt adgangssætning, der hentes fra en hemmelighed, og holde den private nøgle ude af versionsarkivet.

Du føjede --sign og --key til helm package og brugte en GPG-nøgle fra din nøglering. Resultatet er et signeret .tgz-arkiv samt en matchende .prov-fil. 🔑