helm verify と --verify による検証

署名は作業の半分にすぎません。利用者は、信頼する前にチャートとその .prov の内容が一致することをverifyする必要があります。

.prov が隣にあるダウンロード済みの .tgz に対して helm verify を実行します。Helm はハッシュと署名の両方を確認します。

helm verify は、アーカイブの隣に .prov ファイルがあることを前提とします。これがなければ確認する署名が存在せず、検証を実行できません。

検証には、公開者の public key がキーリングに必要です。デフォルト以外の場所にある場合は、--keyring で Helm に指定してください。

Helm はアーカイブの digest を再計算し、PGP 署名を検証します。どちらか一方でも失敗すると検証はエラーになり、インストールすべきではありません。

別の手順を用意する必要はありません。install または pull に --verify を追加すると、署名が不正な場合に Helm が処理を続行しません。

リポジトリからインストールする場合、--verify を指定すると Helm は .prov もダウンロードし、リリースを作成する前に検証します。

成功すると Helm は、Signed by に示されるIDと、確認した SHA-256 ハッシュを出力します。誰を、何を信頼したのかを正確に確認できます。

署名者の公開鍵がキーリングにない場合、検証はfailsします。対応するキーがなければ、Helm は署名を検証できません。

公開者の公開鍵を取得してキーリングにimportすると、その署名を照合できるようになります。

信頼できないソースを使う場合、インストール前の検証が、改ざんされたチャートやなりすましチャートがクラスターに到達するのを防ぐdefenseになります。

ダウンロードしたチャートの署名が無効な場合に、Helm にインストールを拒否させたいとします。

helm verify または --verify フラグを使い、インストール前に署名者の公開鍵を基準としてチャートのダイジェストと署名を確認します。✅