Télécharger des images signées depuis Docker Hub

Vous consultez actuellement la version 1.1 de la documentation d'Apigee hybrid. This version is end of life. You should upgrade to a newer version. Pour en savoir plus, consultez la section Versions compatibles.

Version 1.1 (unsupported)

   Versions compatibles :

• v1.13 (la plus récente)
• v1.12
• v1.11                         
• Liste des versions compatibles

   Versions non compatibles :

• v1.10
• v1.9                                         
• v1.8                                         
• v1.7                                         
• v1.6                                         
• v1.5                                         
• v1.4                                         
• v1.3                                         
• v1.2                                         
• v1.1                                         

Pour garantir l'intégrité de toutes les images de conteneur d'exécution publiées et téléchargées pour les systèmes de production, la signature d'image est désormais disponible pour toutes les images Apigee hybrid utilisant Docker Hub. Toutes les images publiques d'exécution hybrides peuvent être téléchargées depuis le compte Google Docker Hub.

Les images hybrides sont signées à l'aide de Docker Content Trust, une fonctionnalité qui permet aux utilisateurs de vérifier l'intégrité et l'éditeur de chaque image créée et exécutée dans un registre Docker. Ces signatures permettent d'effectuer une vérification, côté client ou environnement d'exécution, des tags d'image spécifiques par rapport aux clés de l'éditeur, pour s'assurer que l'image est identique à celle créée et transmise pour publication par l'éditeur.

Télécharger des images de conteneurs signées

Si vous utilisez un cluster Kubernetes sans accès Internet pour déployer vos services d'exécution hybrides, vous devez télécharger les images de conteneur dans un registre de conteneurs local, puis accéder au registre à partir de votre cluster Kubernetes.

Pour télécharger une image de conteneur signée, vous devez avoir installé Docker et utiliser la commande docker pull comme suit. Veillez à ajouter le tag approprié à chaque nom d'image. Par exemple, le tag pour apigee-synchronizer est 1.1.1, comme indiqué ci-dessous.

docker pull google/apigee-mart-server:1.1.1
docker pull google/apigee-synchronizer:1.1.1
docker pull google/apigee-runtime:1.1.1
docker pull google/apigee-authn-authz:1.1.1
docker pull google/apigee-cassandra-client:1.1.1
docker pull google/apigee-cassandra-backup-utility:1.1.1
docker pull google/apigee-cassandra:1.1.1
docker pull google/apigee-udca:1.1.1
docker pull google/apigee-stackdriver-logging-agent:1.6.8
docker pull google/apigee-prom-prometheus:v2.9.2
docker pull google/apigee-stackdriver-prometheus-sidecar:release-0.4.0
docker pull google/busybox:1.30.1

Vérifier le signataire et les signatures de l'image de conteneur

Pour vérifier qu'une image a été signée, exécutez la commande suivante :

docker trust inspect --pretty $IMAGE_NAME:$IMAGE_TAG

Le résultat de cette commande vous indique si l'image avec tag est signée, et précise le nom des signataires, la liste des signataires et les clés. Exemple :

docker trust inspect --pretty google/apigee-mart-server:1.1.1

Signatures for google/apigee-mart-server:1.1.1
SIGNED TAG          DIGEST                                       SIGNERSbeta2
a607b0e7acba41544e5db8e74b039e9314fdcfdc6f1acf73094d3179fc2af322   asf-admin
List of signers and their keys for google/apigee-mart-server:1.1.1
SIGNER              KEYSasf-admin           7d4abdbb7bfd
Administrative keys for google/apigee-mart-server:1.1.1
Repository Key:       80f86b047965f6dec0c056b1938a7f8cfb894ba8014fba36a18d0923173d394a
Root Key:     6f2d60f90a0d78dd6254d3d47613a4dd6eb0880f83411e6f8b122b84dbef69ca