Firma di un chart con helm package --sign

Si firma un chart nello stesso passaggio in cui lo si impacchetta. Aggiungendo --sign a helm package, vengono prodotti insieme sia il file .tgz sia il relativo .prov.

Per firmare è necessaria una chiave privata GPG. Se non se ne dispone, la si generi con gpg prima di provare a firmare un chart.

Indichi a Helm quale identità utilizzare con --key, specificando un nome o un indirizzo email corrispondente a una chiave privata nel proprio portachiavi.

Helm legge le chiavi da un file binario di portachiavi. Utilizzi --keyring per indicarlo, spesso il file contenente le chiavi segrete esportate.

GPG 2.1 e versioni successive hanno eliminato il vecchio secring.gpg. Esporti le chiavi segrete in un file leggibile da Helm prima di firmare.

Helm calcola l'hash del file .tgz appena creato, aggiunge i metadati del chart e racchiude tutto in una firma realizzata con la chiave privata.

Se la chiave è protetta, Helm richiede la relativa passphrase durante la firma. In questo modo la chiave privata viene sbloccata solo per il tempo necessario a firmare.

Un pacchetto firmato correttamente crea l'archivio e il relativo file .prov affiancati, entrambi denominati in base al chart e alla versione.

Utilizzi helm verify sull'archivio appena firmato per confermare che il file .prov sia valido prima di pubblicare qualsiasi cosa.

Gli altri utenti verificano con la chiave pubblica, non con quella privata. La esporti e la pubblichi, così i destinatari potranno considerare attendibili le sue firme.

Nella CI, eviti le richieste interattive utilizzando una chiave con una passphrase nota, fornita tramite un segreto, e mantenendo la chiave privata fuori dal repository.

Sono stati aggiunti --sign e --key a helm package, utilizzando una chiave GPG del portachiavi. Il risultato è un file .tgz firmato insieme a un file .prov corrispondente. 🔑