創建非對稱密鑰

1. 密鑰管理服務控制臺。

2. 在頁面左上角的地域下拉列表，選擇密鑰所在的地域。

3. 在控制臺左側導航欄，單擊用戶主密鑰，然后單擊創建密鑰。

4. 在創建密鑰對話框配置參數，然后單擊確定。

   容器簽名功能需要非對稱密鑰算法的支持，創建KMS密鑰時，密鑰類型需選擇EC或RSA，密鑰用途需選擇SIGN或VERIFY。其他參數配置請參見創建密鑰。

授權容器鏡像服務使用KMS密鑰

為了讓ACR可以讀取到您賬號下的非對稱密鑰，需要在您的賬號上配置以下RAM策略。

1. 登錄RAM控制臺。

2. 在控制臺左側導航欄中選擇身份管理 > 角色。

3. 在角色頁面創建AliyunContainerRegistryKMSRole角色。

   1. 在角色頁面單擊創建角色。

   2. 在選擇類型配置向導中選擇可信實體類型為阿里云賬號，然后單擊下一步。

   3. 在配置角色中設置角色名稱為AliyunContainerRegistryKMSRole，并選擇云賬號，然后單擊完成。

4. 修改信任策略。

   1. 在角色頁面找到AliyunContainerRegistryKMSRole，單擊角色名稱列下的AliyunContainerRegistryKMSRole。

   2. 單擊信任策略頁簽，然后單擊編輯信任策略。

   3. 在文本框中，修改信任策略，然后單擊保存信任策略。

      {
          "Statement": [
              {
                  "Action": "sts:AssumeRole",
                  "Effect": "Allow",
                  "Principal": {
                      "Service": [
                          "cr.aliyuncs.com"
                      ]
                  }
              }
          ],
          "Version": "1"
      }

5. 新建AliyunContainerRegistryKMSRolePolicy策略。

   1. 在RAM控制臺左側導航欄中，單擊權限管理 > 權限策略。

   2. 在權限策略頁面，單擊創建權限策略。

   3. 在創建權限策略頁面，單擊腳本編輯頁簽，在文本框中輸入策略內容，單擊確定。然后在創建權限策略對話框中填寫名稱和備注。

      說明

      您需要根據實際情況替換region和accountid。

      {
          "Statement": [
              {
                  "Effect": "Allow",
                  "Action": [
                      "kms:*"
                  ],
                  "Resource": "acs:kms:${region}:${accountid}:*"
              }
          ],
          "Version": "1"
      }

6. 在左側導航欄中，選擇 身份管理 > 角色，在角色列表中，找到AliyunContainerRegistryKMSRole 角色。

7. 單擊右側操作列下的添加權限。

8. 在添加權限面板中選擇權限策略為自定義策略，找到并選擇AliyunContainerRegistryKMSRolePolicy ，單擊確定，完成添加。

配置證明者及驗簽策略

1. 登錄云安全中心。

2. 在左側導航欄選擇防護配置 > 容器防護 > 容器簽名，創建證明者并關聯相應的KMS密鑰，用于容器鏡像加簽。

3. 可選：新增驗簽策略，將證明者關聯到對應的ACK集群。更多信息，請參見容器簽名。

配置鏡像自動加簽規則

1. 登錄容器鏡像服務控制臺。

2. 在頂部菜單欄，選擇所需地域。

3. 在左側導航欄，選擇實例列表。

4. 在實例列表頁面單擊目標企業版實例。

5. 在企業版實例管理頁面左側導航欄選擇安全可信 > 鏡像加簽。單擊添加加簽規則。

6. 在密鑰配置的配置向導中選擇在安全中心創建的證明者關聯KMS Key。然后單擊下一步。

7. 在加簽配置的配置向導中設置參數，然后單擊創建加簽規則。

   說明

   設置加簽規則僅對該命名空間下所有新上傳的鏡像進行加簽操作，存量的鏡像不做加簽操作。

   • 加簽算法：提供兩種可選加簽算法RSA_PSS_SHA_256或者RSA_PKCS1_SHA_256。

   • 加簽范圍：目前支持命名空間級別自動加簽，選擇需要自動加簽的命名空間。

   • 加簽類型：

     • 默認：加簽范圍有鏡像Digest和鏡像版本信息，默認模式適用于當前實例下鏡像數據的驗簽。

     • 極簡：加簽范圍僅有鏡像Digest部分，不依賴鏡像版本的信息。極簡模式適用于跨實例鏡像同步場景，鏡像版本會變更對應鏡像數據的驗簽。

   • 觸發方式：默認支持自動觸發，每次推送鏡像后，會自動觸發加簽。

鏡像驗簽

關于鏡像驗簽請參見使用kritis-validation-hook進行容器鏡像簽名驗證。