Verificación con helm verify y --verify

La firma es solo una parte del proceso. El trabajo del consumidor es verificar que el chart y su .prov coincidan antes de confiar en él.

Ejecute helm verify sobre un .tgz descargado que ya tenga su .prov junto a él. Helm comprueba tanto el hash como la firma.

helm verify espera que el archivo .prov esté junto al archivo comprimido. Sin él, no hay ninguna firma que comprobar y la verificación no puede ejecutarse.

Para verificar necesita la clave pública del editor en su keyring. Indique a Helm cuál es con --keyring si no se encuentra en la ubicación predeterminada.

Helm vuelve a calcular el hash del archivo y valida la firma PGP. Si alguna de las dos comprobaciones falla, la verificación termina con un error y no debería instalarlo.

No necesita un paso independiente. Añada --verify a install o pull y Helm se negará a continuar si la firma no es válida.

Al instalar desde un repositorio, --verify indica a Helm que descargue también el .prov y lo compruebe antes de crear el release.

Si todo sale bien, Helm imprime la identidad Signed by y el hash SHA-256 que confirmó, para que pueda ver exactamente en quién y en qué confió.

Si la clave pública del firmante no está en su keyring, la verificación falla. Helm no puede validar una firma para la que no tiene ninguna clave.

Obtenga e importe la clave pública del editor en su keyring; entonces la verificación tendrá con qué comprobar la firma.

Para fuentes que no sean de confianza, verificar antes de instalar es su defensa contra charts manipulados o suplantados que podrían llegar al clúster.

Quiere que Helm rechace la instalación si la firma de un chart descargado no es válida.

Use helm verify o la opción --verify para confirmar el hash y la firma de un chart con la clave pública del firmante antes de instalarlo. ✅