内容信任自动化（引擎） | Automation with content trust (Engine)

您的自动化系统拉取或构建镜像也可以信任。DOCKER_CONTENT_TRUST在处理镜像之前，任何自动化环境都必须手动设置或以脚本方式设置。

绕过密码短语的请求

要允许工具打包docker并推送可信内容，有两个环境变量允许您提供没有期望脚本的密码短语，或者输入它们：

DOCKER_CONTENT_TRUST_ROOT_PASSPHRASE

DOCKER_CONTENT_TRUST_REPOSITORY_PASSPHRASE

Docker尝试将这些环境变量的内容用作密钥的密码。例如，图像发布者可以导出存储库target和snapshot密码短语：

$  export DOCKER_CONTENT_TRUST_ROOT_PASSPHRASE="u7pEQcGoebUHm6LHe6"
$  export DOCKER_CONTENT_TRUST_REPOSITORY_PASSPHRASE="l7pEQcTKJjUHm6Lpe4"

然后，在推送新标签时，Docker客户端不会请求这些值，而是自动标记：

$  docker push docker/trusttest:latest
The push refers to a repository [docker.io/docker/trusttest] (len: 1)
a9539b34a6ab: Image already exists
b3dbab3810fc: Image already exists
latest: digest: sha256:d149ab53f871 size: 3355
Signing and pushing trust metadata

直接使用公证客户端时，它将使用自己的一组环境变量。

内容信任构建

您也可以使用内容信任进行构建。在运行docker build命令之前，您应该DOCKER_CONTENT_TRUST手动或以脚本方式设置环境变量。考虑下面的简单Dockerfile。

FROM docker/trusttest:latest
RUN echo

FROM标签被拉动签署图像。您无法构建具有FROM本地或未签署的图像。鉴于标记存在内容信任数据latest，以下构建应该成功：

$  docker build -t docker/trusttest:testing .
Using default tag: latest
latest: Pulling from docker/trusttest

b3dbab3810fc: Pull complete
a9539b34a6ab: Pull complete
Digest: sha256:d149ab53f871

如果启用了内容信任，则从依赖于标记而没有信任数据的Dockerfile构建，会导致构建命令失败：

$  docker build -t docker/trusttest:testing .
unable to process Dockerfile: No trust data for notrust

绕过密码短语的请求

内容信任构建

相关信息