Notation助力Harbor镜像验证实践

一、镜像安全验证的迫切需求

在容器化部署成为主流的今天，Harbor作为企业级镜像仓库解决方案，承担着镜像存储、分发与管理的核心职责。然而，镜像在传输过程中可能遭遇篡改攻击，导致部署恶意代码或配置错误，这种风险在跨组织、跨云环境的镜像共享场景中尤为突出。

传统验证方式依赖哈希校验，存在两大缺陷：其一，无法验证镜像来源的真实性；其二，当镜像内容更新时，哈希值随之变化，导致验证机制失效。这促使行业需要更完善的镜像验证方案，实现”来源可信+内容完整”的双重保障。

二、Notation技术原理与优势

Notation是Linux基金会旗下CNCF（云原生计算基金会）孵化的开源项目，专注于为容器镜像提供数字签名验证能力。其核心机制包含：

1. 非对称加密体系：使用公私钥对进行签名验证，私钥由镜像发布者保管，公钥通过可信渠道分发
2. 标准化签名格式：遵循OCI（开放容器倡议）标准，生成.sig签名文件与镜像元数据绑定
3. 多签名支持：允许同一镜像由多个实体联合签名，构建责任链

相较于传统方案，Notation具有三大优势：

• 细粒度验证：可针对镜像层、清单或配置单独签名
• 跨平台兼容：支持Harbor、Docker Registry等多种镜像仓库
• 自动化集成：提供CLI工具和REST API，易于CI/CD流程整合

三、Harbor中的Notation集成实践

3.1 环境准备

1. 安装Notation CLI：

   # Linux系统安装示例
   curl -L https://github.com/notaryproject/notation/releases/download/v1.0.0/notation_1.0.0_linux_amd64.tar.gz | tar xz
   sudo mv notation /usr/local/bin/

2. Harbor配置：

   • 启用OCI Artifact支持（Harbor v2.4+）
   • 配置信任策略（Trust Policy），定义可接受的签名密钥

3.2 密钥管理最佳实践

建议采用分层密钥体系：

• 根证书：由CA机构签发，用于签发工作密钥
• 工作密钥：按项目/环境隔离，定期轮换
• 临时密钥：用于CI/CD流水线，有效期限制

密钥生成示例：

# 生成RSA密钥对
notation cert generate --id "myorg-signer" --key "rsa:4096" myorg-cert.pem
# 导出公钥
notation cert export-public-key myorg-cert.pem > myorg-pubkey.pem

3.3 镜像签名流程

1. 构建阶段签名：

   # 在Dockerfile中添加签名元数据
   LABEL org.opencontainers.image.title="secure-app" \
      org.opencontainers.image.description="Signed with Notation"

2. 推送前签名：

   # 登录Harbor仓库
   docker login harbor.example.com
   # 对本地镜像签名
   notation sign --plugin cosign harbor.example.com/library/nginx:v1
   # 推送镜像及签名
   docker push harbor.example.com/library/nginx:v1
   notation push harbor.example.com/library/nginx:v1@sha256:xxx.sig

3.4 验证机制实现

Harbor通过Webhook触发验证流程：

1. 预接收验证：检查签名是否存在且有效
2. 后接收验证：比对签名内容与镜像实际哈希
3. 策略引擎：根据Trust Policy决定是否允许部署

验证失败处理：

# 手动验证示例
notation verify --plugin cosign harbor.example.com/library/nginx:v1
# 输出示例：
# Verification for harbor.example.com/library/nginx:v1
# ✓ Signed by myorg-signer (CN=MyOrg Signer)
# ✓ Image digest matches signature

四、企业级部署建议

4.1 密钥轮换策略

• 季度轮换：工作密钥每90天更换
• 双密钥机制：新旧密钥并行验证30天
• 自动化脚本：

  #!/bin/bash
  # 自动生成并上传新密钥
  NEW_KEY="key-$(date +%Y%m%d)"
  notation cert generate --id "$NEW_KEY" new-cert.pem
  kubectl create secret generic notation-$NEW_KEY --from-file=cert=new-cert.pem
  # 更新Harbor配置...

4.2 多环境信任管理

环境	信任策略	验证强度
开发	允许自签名	低
测试	需组织内部签名	中
生产	需CA签发证书+组织联合签名	高

4.3 性能优化措施

• 签名缓存：对高频访问镜像预签名
• 并行验证：利用Harbor的Worker Pool机制
• 增量签名：仅对变更层进行签名

五、典型应用场景

5.1 供应商镜像验证

某金融机构要求所有第三方供应商镜像必须：

1. 使用供应商官方密钥签名
2. 附带软件物料清单（SBOM）
3. 通过Harbor策略引擎自动验证

实施后，拦截了3起包含高危漏洞的镜像推送。

5.2 跨云镜像同步

在多云架构中，通过Notation实现：

• 云A签名 → 云B验证 的信任传递
• 离线环境下的签名包分发
• 混合云场景下的统一策略管理

5.3 合规性要求满足

满足GDPR、等保2.0等法规对数据完整性的要求，生成可审计的签名日志：

{
  "event": "IMAGE_VERIFIED",
  "timestamp": "2023-07-20T14:30:00Z",
  "image": "harbor.example.com/finance/payment:v2",
  "signer": "CN=Finance Dept,O=MyCorp",
  "verification_result": "SUCCESS"
}

六、未来演进方向

1. 硬件安全模块集成：将私钥存储在HSM中，提升安全性
2. 量子安全算法：研究后量子密码学在镜像签名中的应用
3. AI辅助验证：利用机器学习检测异常签名模式
4. 区块链存证：将签名记录上链，实现不可篡改的审计追踪

结语

Notation与Harbor的深度集成，为企业构建了从开发到生产的镜像安全防线。通过实施本文介绍的验证实践，组织可显著降低镜像篡改风险，提升供应链安全水平。建议从核心业务系统开始试点，逐步扩展至全企业范围，同时关注Notation社区的最新进展，持续优化验证策略。

实际部署时，建议结合企业具体环境制定分阶段实施计划：第一阶段实现基础签名验证，第二阶段完善密钥管理，第三阶段构建自动化策略引擎。通过这种渐进式方法，可在控制风险的同时最大化安全收益。