Verifisere med helm verify og --verify

Signering er bare halve historien. Jobben til brukeren er å verifisere at chartet og .prov-filen stemmer overens, før brukeren stoler på det.

Kjør helm verify mot et nedlastet .tgz-arkiv som allerede har .prov-filen ved siden av seg. Helm kontrollerer både hashen og signaturen.

helm verify forventer at .prov-filen ligger ved siden av arkivet. Uten den finnes det ingen signatur å kontrollere, og verifiseringen kan ikke kjøres.

Verifisering krever utgiverens offentlige nøkkel i nøkkelringen din. Angi den med --keyring hvis den ikke ligger i standardnøkkelringen.

Helm beregner arkivets digest på nytt og validerer PGP-signaturen. Hvis én av dem mislykkes, avsluttes verifiseringen med en feil, og du bør ikke installere chartet.

Du trenger ikke et separat trinn. Legg til --verify i install eller pull, så nekter Helm å fortsette hvis signaturen er ugyldig.

Ved installasjon fra et repo ber --verify Helm om å laste ned .prov-filen også og kontrollere den før releasen opprettes.

Ved vellykket resultat skriver Helm ut identiteten Signert av og SHA-256-hashen som ble bekreftet, slik at du kan se nøyaktig hvem og hva du stolte på.

Hvis signererens offentlige nøkkel ikke finnes i nøkkelringen din, mislykkes verifiseringen. Helm kan ikke validere en signatur det ikke har noen nøkkel for.

Hent og importer utgiverens offentlige nøkkel til nøkkelringen din. Da har verifiseringen noe å kontrollere signaturen mot.

For kilder du ikke stoler på, er verifisering før installasjon ditt forsvar mot manipulerte eller forfalskede chart som når klyngen din.

Bruk helm verify eller --verify-flagget for å bekrefte chartets digest og signatur mot signererens offentlige nøkkel før installasjon. ✅