DOCKER_CONTENT_TRUST 与内容信任的区别

Question

正如我从 Docker 官方文档中了解到的，环境变量DOCKER_CONTENT_TRUST和 deamon config content-trust 都阻止了未签名标签的使用。 如果我想限制使用未签名的图像，最好的选择是什么？

选项 1：导出 DOCKER_CONTENT_TRUST=1

选项 2: /etc/docker/daemon.json: { "content-trust": { "mode": "enforced" } } enforced { "content-trust": { "mode": "enforced" } }

Answer 1

最好的选择是将内容信任（即运行时强制执行）与 docker 守护进程（在守护进程的 json 配置文件中指定）一起使用。 这是更可取的，因为您环境的最终用户不能通过将 DOCKER_CONTENT_TRUST 环境变量值设置为 0 并下载不安全的图像来禁用信任。

另一方面，这仅在 docker 企业版中可用，因此如果您使用的是社区版，则此选项根本不可用，让您只使用环境变量