署名付きパッケージをインストールする場合は、このセクションで説明するイメージプロパティーとパブリッシャープロパティーを、パッケージの署名を検証するように設定します。
次のイメージプロパティーを、署名付きパッケージを使用するように構成します。
このプロパティーの値により、イメージ内のパッケージのインストール、更新、変更、または検証時に、マニフェストに実行されるチェックが決まります。パッケージに適用される最終的なポリシーは、イメージポリシーとパブリッシャーポリシーの組み合わせに依存します。この組み合わせの厳格さは、少なくとも、この 2 つのポリシーが個別に適用された場合の厳格な方と同じです。デフォルトでは、パッケージクライアントは証明書が失効済みかどうかをチェックしません。そのようなチェック (クライアントから外部 Web サイトへのアクセスが必要な場合がある) を有効にするには、check-certificate-revocation イメージプロパティーを true に設定します。次の値が許可されます。
すべてのマニフェストの署名を無視します。
署名が含まれているすべてのマニフェストが有効に署名されていることを確認しますが、インストール済みパッケージがすべて署名されている必要はありません。
これがデフォルト値です。
新しくインストールされたすべてのパッケージに、有効な署名が少なくとも 1 つ含まれている必要があります。インストール済みパッケージに有効な署名が含まれていない場合は、pkg fix および pkg verify コマンドでも警告が表示されます。
require-signatures と同じ要件に従いますが、signature-required-names イメージプロパティーで一覧表示される文字列が、署名の信頼のチェーンを検証するために使用される証明書の共通名としても表示される必要があります。
このプロパティーの値は、パッケージの署名の検証中に、証明書の共通名として表示される必要のある名前の一覧です。
次のパブリッシャープロパティーを、特定のパブリッシャーからの署名付きパッケージを使用するように構成します。
このプロパティーの機能は、このプロパティーが指定したパブリッシャーからのパッケージにのみ適用される点を除き、signature-policy イメージプロパティーの機能と同じです。
このプロパティーの機能は、このプロパティーが指定したパブリッシャーからのパッケージにのみ適用される点を除き、signature-required-names イメージプロパティーの機能と同じです。
パッケージの署名プロパティーを構成するには、set-property、add-property-value、remove-property-value、および unset-property サブコマンドを使用します。
特定のパブリッシャーの署名ポリシーと必要な名前を指定するには、set-publisher サブコマンドの --set-property、--add-property-value、--remove-property-value、および --unset-property オプションを使用します。
次の例は、このイメージで、すべてのパッケージが署名されることを必須にするように構成します。また、この例では、信頼のチェーン内のいずれかの証明書の共通名として文字列「oracle.com」が表示されることも必須にします。
$ pkg set-property signature-policy require-names oracle.com
次の例は、このイメージで、署名されたすべてのパッケージが検証されることを必須にするように構成します。
$ pkg set-property signature-policy verify
次の例は、このイメージで、パブリッシャー example.com からインストールされたすべてのパッケージが署名されることを必須にするように構成します。
$ pkg set-publisher --set-property signature-policy=require-signatures example.com
次の例は、必要な署名を追加します。この例では、有効と見なされるには、署名の信頼のチェーンに表示される必要のあるイメージの共通名の一覧に文字列 trustedname を追加します。
$ pkg add-property-value signature-required-names trustedname
次の例は、必要な署名を削除します。この例では、有効と見なされるには、署名の信頼のチェーンに表示される必要のあるイメージの共通名の一覧から文字列 trustedname を削除します。
$ pkg remove-property-value signature-required-names trustedname
次の例は、指定したパブリッシャーの必要な署名を追加します。この例では、有効と見なされるには、署名の信頼のチェーンに表示される必要のあるパブリッシャー example.com の共通名の一覧に文字列 trustedname を追加します。
$ pkg set-publisher --add-property-value \ signature-required-names=trustedname example.com