容器镜像签名通过密码学算法为容器镜像附加数字签名，用于验证镜像的完整性（未被篡改）和真实性（来源可信），是保障镜像供应链安全的重要手段。 :::tip 【[邀测·申请试用](https://www.volcengine.com/docs/6420/1109249)】本功能目前处于邀测阶段，如需使用，请提交申请。 ::: ## 背景信息镜像仓库 CR 支持容器镜像签名功能，集成 [密钥管理服务（KMS）](https://www.volcengine.com/docs/6476/71298)的非对称密钥，实现命名空间级别的自动加签、绑定解绑以及单个镜像版本的手动加签。 ## 加签方式对比 |**对比项** |**创建签名规则（命名空间级）** |**手动加签（镜像版本）** | |---|---|---| |适用场景 |希望全局策略化管理镜像签名。需要对命名空间下所有 **新推送 ** 的镜像自动加签，适用于流水线自动发布流程，保障镜像安全可靠。 |希望灵活地对指定镜像版本加签或补签。需要对 **已有的存量镜像 ** 或特定镜像版本单独加签，适用于按需加签或对历史镜像补签。 | |加签方式 |创建签名规则后自动触发，无需人工干预。 |在镜像版本列表页，手动选择目标镜像版本添加签名。 | |加签范围 |命名空间级别，规则生效后该命名空间下所有新推送的镜像均自动加签。 |镜像版本级别，支持为单个镜像版本加签。 | |前提条件 |需先创建签名规则。 |需要目标命名空间已关联签名规则。 | ## 创建签名规则创建签名规则后，命名空间下新推送的镜像将自动加签。 ### 前提条件 * 已创建命名空间，操作详情参见 [创建命名空间](https://www.volcengine.com/docs/6420/106532)。 * 已创建密钥类型为 RSA_2048、密钥用途为 SIGN_VERIFY 的非对称密钥，创建方法参见 [密钥托管](https://www.volcengine.com/docs/6476/71338)。 ### 注意事项 * 一个命名空间仅可关联一个签名规则。 * 签名规则创建成功后，该命名空间下所有新推送的镜像将自动触发加签。 * 签名规则创建后不支持修改。如需变更，请删除原规则后重新创建。 ### 操作步骤 1. 登录 [镜像仓库控制台](https://console.volcengine.com/cr)。 2. 在顶部导航栏选择目标地域。 3. 在左侧导航栏单击 **实例列表**，然后在 **实例列表** 区域中找到需要创建命名空间的实例，单击 **进入实例**。 4. 选择规则创建路径。 ```mixin-react return ( ); ``` 5. 配置签名规则参数。 |**参数** |**说明** | |---|---| |规则名称 |填写签名规则名称。 | |签名范围 |选择签名规则生效的命名空间。 | |KMS 密钥 |选择用于加签的 KMS 非对称密钥。 | 6. 单击 **确定**，完成创建。 ## 手动加签对于签名规则创建前已存在的镜像版本（存量镜像），或需要单独对某个制品版本执行加签操作时，可使用手动加签功能。 ### 前提条件已创建签名规则，操作详情参见 [创建签名规则](https://www.volcengine.com/docs/6420/2372700#NhuXP3OG)。 ### 操作步骤 1. 登录 [镜像仓库控制台](https://console.volcengine.com/cr)。 2. 在顶部导航栏选择目标地域。 3. 在左侧导航栏单击 **实例列表**，单击目标实例名称。 4. 在命名空间列表中，单击目标命名空间下的 OCI 制品仓库，进入镜像版本列表页。 5. 选择目标镜像版本，单击 **操作** 列下的 **镜像签名**。 6. 在二次确认对话框中单击 **确认**，完成加签操作。