Verifica con helm verify e --verify

La firma è solo metà del processo. Il compito di chi utilizza il chart è verificare che il chart e il relativo file .prov corrispondano prima di considerarlo attendibile.

Esegua helm verify su un file .tgz scaricato che abbia già il relativo .prov accanto. Helm controlla sia l'hash sia la firma.

helm verify si aspetta che il file .prov si trovi accanto all'archivio. Senza di esso non c'è alcuna firma da controllare e la verifica non può essere eseguita.

Per la verifica è necessaria la chiave pubblica del publisher nel proprio portachiavi. Utilizzi --keyring per indicarla a Helm se non si trova nel percorso predefinito.

Helm ricalcola il digest dell'archivio e convalida la firma PGP. Se uno dei due controlli fallisce, la verifica termina con un errore e il chart non deve essere installato.

Non è necessario un passaggio separato. Aggiunga --verify a install o pull e Helm rifiuterà di procedere se la firma non è valida.

Quando si installa da un repository, --verify indica a Helm di scaricare anche il file .prov e di controllarlo prima della creazione della release.

In caso di successo, Helm stampa l'identità Signed by e l'hash SHA-256 confermato, così è possibile vedere esattamente chi e che cosa è stato considerato attendibile.

Se la chiave pubblica del firmatario non si trova nel portachiavi, la verifica fallisce. Helm non può convalidare una firma per la quale non dispone della chiave.

Recuperi e importi la chiave pubblica del publisher nel portachiavi; a quel punto la verifica avrà una chiave con cui controllare la firma.

Per le fonti non attendibili, verificare prima dell'installazione è la sua difesa contro chart manomessi o contraffatti che potrebbero raggiungere il cluster.

Si desidera che Helm rifiuti l'installazione se la firma di un chart scaricato non è valida.

Utilizzi helm verify o il flag --verify per confermare il digest e la firma di un chart tramite la chiave pubblica del firmatario prima dell'installazione. ✅