Cluster Update Keys#

Cluster Update Keys добавляет ConfigMap к образу DropApp Plus, который инструктирует оператора версии кластера проверять обновления с использованием предоставленных ключей и хранилищ перед их выполнением.

ConfigMap должен содержать аннотацию release.openshift.io/verification-config-map, которая предписывает оператору версии кластера проверять полезные нагрузки на соответствие сигнатурам OpenPGP в формате подписи атомарного контейнера.

Ключи в ConfigMap определяют, как выполняется проверка:

verifier-public-key-*: One or more GPG public keys in ASCII form that must have signed the
                       release image by digest.

store-*: A URL (scheme file://, http://, or https://) location that contains signatures. These
         signatures are in the atomic container signature format. The URL will have the digest
         of the image appended to it as "<STORE>/<ALGO>=<DIGEST>/signature-<NUMBER>" as described
         in the container image signing format. The docker-image-manifest section of the
         signature must match the release image digest. Signatures are searched starting at
         NUMBER 1 and incrementing if the signature exists but is not valid. The signature is a
         GPG signed and encrypted JSON message. The file store is provided for testing only at
         the current time, although future versions of the CVO might allow host mounting of
         signatures.