Memverifikasi dengan helm verify dan --verify

Penandatanganan hanyalah separuh proses. Tugas pengguna adalah memverifikasi bahwa chart dan .prov-nya cocok sebelum memercayainya.

Jalankan helm verify terhadap .tgz yang diunduh dan sudah memiliki .prov di sebelahnya. Helm memeriksa hash dan tanda tangan.

helm verify mengharapkan berkas .prov berada di sebelah arsip. Tanpanya, tidak ada tanda tangan yang dapat diperiksa dan verifikasi tidak dapat dijalankan.

Verifikasi memerlukan kunci publik penerbit di ring kunci Anda. Tunjukkan lokasinya kepada Helm dengan --keyring jika kunci tersebut bukan berada di lokasi bawaan.

Helm menghitung ulang intisari arsip dan memvalidasi tanda tangan PGP. Jika salah satunya gagal, verifikasi berhenti dengan kesalahan dan Anda sebaiknya tidak memasang chart tersebut.

Anda tidak memerlukan langkah terpisah. Tambahkan --verify ke perintah install atau pull, dan Helm menolak melanjutkan jika tanda tangannya tidak valid.

Saat memasang dari repositori, --verify memberi tahu Helm untuk mengunduh .prov juga dan memeriksanya sebelum rilis dibuat.

Saat berhasil, Helm mencetak identitas Signed by dan hash SHA-256 yang dikonfirmasinya, sehingga Anda dapat melihat dengan tepat siapa dan apa yang Anda percayai.

Jika kunci publik penanda tangan tidak ada di ring kunci Anda, verifikasi gagal. Helm tidak dapat memvalidasi tanda tangan jika tidak memiliki kuncinya.

Ambil dan impor kunci publik penerbit ke ring kunci Anda. Setelah itu, verifikasi memiliki sesuatu untuk memeriksa tanda tangan.

Untuk sumber yang tidak tepercaya, melakukan verifikasi sebelum pemasangan adalah perlindungan Anda agar chart yang telah diubah atau menyamar tidak masuk ke cluster.

Anda ingin Helm menolak pemasangan jika tanda tangan chart yang diunduh tidak valid.

Gunakan helm verify atau flag --verify untuk mengonfirmasi intisari dan tanda tangan chart menggunakan kunci publik penanda tangan sebelum memasangnya. ✅