パッケージ署名

2017年8月22日にリリースされたGitLab 9.5から、GitLabはRPMおよびDEBベースのディストリビューション向けに署名されたOmnibus GitLabパッケージを提供しています。 これは、https://packages.gitlab.com で提供されるすべてのパッケージが署名されていることを意味し、9.5.0から始まり、サポートされているブランチの将来のすべてのバージョン(例:2017年8月22日以降9.3.x9.4.x )が署名されています。2017年8月22日以前のパッケージバージョンは署名されません。 パッケージマネージャに適切な引数を渡してください。 (例:yum --nogpgcheck)

Omnibus GitLabで作成されるパッケージはOmnibusツールで作成されますが、GitLabは独自のフォークでdebsigs 。この追加とRPM署名の既存機能を組み合わせることで、GitLabはDEBまたはRPMを使用してサポートされているすべてのディストリビューションに対して署名されたパッケージを提供することができます。

これらのパッケージは、Omnibus GitLabプロジェクトにあるように、GitLab CIプロセスによって、https://packages.gitlab.com に配信される前に生成されます。

GnuPG公開鍵

これらのパッケージの署名に使用された鍵は、pgp.mit.edu0x3cfcf9baf27eab47にあります。

署名の検証

GitLab パッケージシグネチャの検証方法はPackage Signaturesにあります。

GPG署名管理

GitLab がパッケージ署名用の GPG 鍵をどのように管理しているかについては、ランブックに記載されています。