Si vous installez des packages signés, définissez les propriétés de l'image et de l'éditeur décrites dans cette section pour vérifier les signatures des packages.
Configurez les propriétés de l'image suivantes pour utiliser des packages signés.
La valeur de cette propriété détermine quelles vérifications sont effectuées sur des fichiers manifestes lors de l'installation, de la mise à jour, de la modification ou de la vérification d'un package dans cette image. La stratégie finale appliquée à un package dépend de la combinaison des stratégies de l'image et de l'éditeur. La combinaison sera au moins aussi stricte que la plus stricte des deux stratégies prises individuellement. Par défaut, le client du package ne vérifie pas si les certificats ont été révoqués. Pour activer ces vérifications, qui peuvent nécessiter que le client contacte des sites web externes, définissez la propriété d'image check-certificate-revocation sur true. Les valeurs suivantes sont autorisées :
Ignore les signatures pour tous les manifestes.
Vérifie que tous les fichiers manifestes avec signatures sont valablement signés, mais ne nécessite pas que tous les packages installés soient signés.
Il s'agit de la valeur par défaut.
Demande à ce que tous les nouveaux packages installés disposent au moins d'une signature valide. Les commandes pkg fix et pkg verify avertissent également lorsqu'un package installé ne possède pas de signature valide.
Suit les mêmes exigences que require-signatures mais nécessite aussi que les chaînes répertoriées dans la propriété d'image signature-required-names s'affichent en tant que nom commun des certificats utilisés pour vérifier les chaînes de confiance des signatures.
La valeur de cette propriété est une liste de noms qui doivent être considérés comme des noms communs de certificats lors de la validation des signatures d'un package.
Configurez les propriétés de l'éditeur suivantes pour utiliser des packages signés d'un éditeur particulier.
La fonction de cette propriété est identique à la fonction de la propriété d'image signature-policy, si ce n'est que cette propriété s'applique uniquement aux packages de l'éditeur spécifié.
La fonction de cette propriété est identique à la fonction de la propriété d'image signature-required-names, si ce n'est que cette propriété s'applique uniquement aux packages de l'éditeur spécifié.
Utilisez les sous-commandes set-property, add-property-value, remove-property-value et unset-property pour configurer les propriétés de signature de package pour cette image.
Utilisez les options --set-property, --add-property-value, --remove-property-value et --unset-property de la sous-commande set-publisher pour spécifier la stratégie de signature et les noms requis pour un éditeur particulier.
L'exemple suivant configure cette image pour exiger que tous les packages soient signés. Il nécessite également que la chaîne oracle.com soit considérée comme un nom commun pour l'un des certificats dans la chaîne de confiance.
$ pkg set-property signature-policy require-names oracle.com
L'exemple suivant configure cette image pour exiger que tous les packages signés soient vérifiés.
$ pkg set-property signature-policy verify
L'exemple suivant configure cette image pour exiger que tous les packages installés à partir de l'éditeur example.com soient signés.
$ pkg set-publisher --set-property signature-policy=require-signatures example.com
L'exemple suivant ajoute un nom de signature requis. Cet exemple ajoute la chaîne trustedname à la liste de noms communs de l'image qui doivent être vus dans la chaîne de confiance d'une signature pour qu'elle soit considérée valide.
$ pkg add-property-value signature-required-names trustedname
L'exemple suivant supprime un nom de signature requis. Cet exemple supprime la chaîne trustedname de la liste de noms communs de l'image qui doivent être vus dans la chaîne de confiance d'une signature pour qu'elle soit considérée valide.
$ pkg remove-property-value signature-required-names trustedname
L'exemple suivant ajoute un nom de signature requis pour un éditeur spécifié. Cet exemple ajoute la chaîne trustedname à la liste de noms communs de l'éditeur example.com qui doivent être vus dans la chaîne de confiance d'une signature pour qu'elle soit considérée valide.
$ pkg set-publisher --add-property-value \ signature-required-names=trustedname example.com