Docker Content Trust Decommissioning and Migration Guide

漏洞概述 Docker Content Trust (DCT) 和 Notary v1 服务（notary.docker.io）正在被完全退役。DCT 是 Docker 容器生态系统早期用于验证镜像完整性和发布者身份的工具，基于上游 Notary v1 服务器，该服务器自 2015 年首次发布后已不再维护。随着 OCI 原生签名工具（如 Sigstore/Cosign 和 Notary Project 的 Notation）的普及，DCT 已不再是标准。 影响范围 受影响用户：配置了 DCT 的用户，包括设置了 环境变量、使用 命令、Kubernetes 准入控制器或部署策略检查 DCT 签名、以及使用 DCT 签名发布镜像的用户。 不受影响用户：未设置 且未使用 命令的用户。 修复方案 1. 确保镜像拉取成功： - 禁用 DCT，通过设置 环境变量。 - 搜索并移除所有设置 的地方，包括 shell 配置文件、CI/CD 配置、Compose 文件和 Kubernetes 清单。 2. 确保拉取可重复： - 使用镜像摘要（digest）进行拉取，确保每次拉取的是相同的镜像内容。 - 示例代码： 3. 验证发布者身份： - 使用 Sigstore/Cosign 或 Notation 进行镜像签名。 - Sigstore/Cosign： - 快速开始：Sigstore quickstart - GitHub 仓库：Cosign on GitHub - Notation： - 快速开始：Notation quickstart - GitHub 仓库：Notation on GitHub 4. 在生产环境中强制执行验证： - Kyverno（与 Cosign 配合使用）： - 在拉取镜像前验证 Cosign 签名。 - 文档：Kyverno documentation - Ratify + Gatekeeper（与 Notation 配合使用）： - 在准入 Pod 前验证 Notation 签名。 - 设置说明：Ratify quickstart 5. 使用 Docker 加固镜像作为内置替代方案： - Docker 加固镜像（DHI）提供加密签名、来源证明和 SBOM，确保镜像的完整性和安全性。 - 更多信息：Docker Hardened Images - 免费目录：DHI Catalog 需要帮助？ Docker Hub 发布者：需要采用 Cosign 或 Notation 自行签名镜像。 第三方镜像消费者：联系发布者确定是否计划采用现代签名方案。 问题或迁移计划：联系 Docker 支持团队。 关于作者 Julia Wilson：UX 研究员，Docker Aditya Tripathi：高级产品营销经理，Docker 时间线 2026年7月14日：4小时写入中断 2026年7月15日：4小时写入中断 2026年8月10日：4小时读取中断 2026年8月12日：4小时读取中断 2026年12月8日：完全关闭 总结 Docker Content Trust (DCT) 和 Notary v1 服务正在被退役，建议用户迁移到更现代的签名工具如 Sigstore/Cosign 或 Notation，以确保镜像的安全性和完整性。

目標達成 すべての支援者に感謝 — 100%達成しました！

Docker Content Trust Decommissioning and Migration Guide

目標達成すべての支援者に感謝 — 100%達成しました！