Firma de un chart con helm package --sign

Puede firmar un chart en el mismo paso en que lo empaqueta. Añadir --sign a helm package genera tanto el archivo .tgz como su .prov.

Para firmar necesita una clave GPG privada. Si no tiene una, genérela con gpg antes de intentar firmar un chart.

Indique a Helm qué identidad debe usar con --key, proporcionando un nombre o correo electrónico que coincida con una clave privada de su keyring.

Helm lee las claves desde un archivo binario de keyring. Use --keyring para indicarlo; normalmente será el archivo donde exportó sus claves secretas.

GPG 2.1+ eliminó el antiguo secring.gpg. Exporte sus claves secretas a un archivo que Helm pueda leer antes de firmar.

Helm calcula el hash del .tgz recién creado, añade los metadatos del chart y lo integra todo en una firma creada con su clave privada.

Si su clave está protegida, Helm solicita su frase de contraseña durante la firma. Esto desbloquea la clave privada solo el tiempo necesario para firmar.

Un paquete firmado correctamente escribe el archivo y su .prov complementario uno junto al otro; ambos reciben el nombre del chart y de su versión.

Use helm verify en el archivo recién firmado para confirmar que el .prov es válido antes de publicar nada.

Los demás verifican con su clave pública, no con la privada. Expórtela y publíquela para que los consumidores puedan confiar en sus firmas.

En CI, evite las solicitudes interactivas usando una clave con una frase de contraseña conocida, proporcionada desde un secreto, y mantenga la clave privada fuera del repositorio.

Quiere producir un archivo de chart firmado junto con su archivo de procedencia en un solo comando.

Añadió --sign y --key a helm package, usando una clave GPG de su keyring. El resultado es un .tgz firmado junto con un .prov correspondiente. 🔑