Docker Sandboxes
说明验证 Kit 制品的签名
用法sbx kit verify REFERENCE [flags]

实验性

此命令为实验性功能。

实验性功能仅用于测试和反馈，其功能或设计可能在不同版本之间无预警地发生变化，也可能在未来的版本中被完全移除。

描述 ​

验证 Kit 制品的 cosign 兼容签名。

对于本地目录，会用 Kit 的内容校验同目录下的 kit.sig.bundle 附属文件。对于 git 引用，会克隆仓库，并以同样方式校验其中已提交的 kit.sig.bundle 附属文件。对于 OCI 引用，会用 Kit manifest 校验以 OCI referrer 形式附带的签名。

使用 --key 可以针对 PEM 公钥验证基于密钥的签名。对于无密钥签名，用 --certificate-identity（或 --certificate-identity-regexp）给出可接受的签名者身份，并用 --certificate-oidc-issuer（或 --certificate-oidc-issuer-regexp）给出 OIDC 颁发者。

传入 --insecure-ignore-tlog 可以验证用 --tlog-upload=false 生成的无密钥私有签名：该参数会取消对 Rekor 透明日志条目的要求，改为依赖时间戳颁发机构的时间戳。它对基于密钥的验证没有影响。

选项 ​

选项默认值说明
--certificate-identity精确匹配的无密钥签名者身份（证书 SAN）
--certificate-identity-regexp无密钥签名者身份正则表达式（证书 SAN）
--certificate-oidc-issuer精确匹配的无密钥 OIDC 颁发者
--certificate-oidc-issuer-regexp无密钥 OIDC 颁发者正则表达式
--format输出格式：table、json 或 yaml
--insecure-ignore-tlog不要求 Rekor 透明日志条目（用于无密钥的私有签名）
--json以 JSON 格式输出
--key用于基于密钥验证的公钥（PEM）

全局选项 ​

选项默认值说明
--cloud改为调用 Docker Cloud Sandboxes API，而不是本地 sandboxd（支持的动词正在逐步增加，运行 sbx --cloud --help 查看当前列表）
-D, --debug启用调试日志
--no-input从不提示；需要应答的命令会直接失败，并给出应当运行的命令

示例 ​

console
# 验证基于密钥的签名
sbx kit verify --key cosign.pub ghcr.io/org/my-kit:1.0

# 按身份验证无密钥签名
sbx kit verify \
--certificate-identity user@example.com \
--certificate-oidc-issuer https://accounts.google.com \
./my-kit/

参见 ​

  • sbx kit — （实验性）管理 Kit 制品