helm package --sign によるチャート署名

チャートをパッケージ化するのと同じ手順で署名します。helm package に --sign を追加すると、.tgz と対応する .prov の両方が一緒に生成されます。

署名には秘密の GPG key が必要です。持っていない場合は、チャートへの署名を試す前に gpg で生成してください。

--key を使って、使用するIDを Helm に伝えます。キーリング内の秘密鍵に一致する名前またはメールアドレスを指定してください。

Helm はバイナリ形式のキーリングファイルからキーを読み取ります。--keyring を使ってそのファイルを指定します。多くの場合、エクスポートした秘密鍵を含むファイルを指定します。

GPG 2.1 以降では、以前の secring.gpg が廃止されています。署名する前に、Helm が読み取れるファイルへ秘密鍵を Export してください。

Helm は新しく作成した .tgz のハッシュを計算し、チャートのメタデータを追加して、秘密鍵で作成した signature にまとめます。

キーが保護されている場合、署名中に Helm が passphrase の入力を求めます。これにより、署名に必要な間だけ秘密鍵のロックが解除されます。

署名付きパッケージの作成に成功すると、アーカイブと対応する .prov ファイルが同じ場所に出力されます。どちらもチャート名とバージョンに基づく名前になります。

公開する前に、作成したばかりのアーカイブに対して helm verify を使い、.prov が有効であることを確認してください。

他の利用者が検証に使うのは秘密鍵ではなく public key です。利用者が署名を信頼できるように、公開鍵をエクスポートして公開してください。

CI では、シークレットから既知のパスフレーズを渡せるキーを使って対話的なプロンプトを避け、private key をリポジトリに置かないようにしてください。

署名付きチャートアーカイブと、そのプロベナンスファイルを1つのコマンドで作成したいとします。

GPG キーリングのキーを使い、helm package に --sign と --key を追加しました。その結果、署名付き .tgz と対応する .prov が生成されます。🔑