パッケージ署名
2017年8月22日にリリースされたGitLab 9.5から、GitLabはRPMおよびDEBベースのディストリビューション向けに署名されたOmnibus GitLabパッケージを提供しています。 これは、https://packages.gitlab.com で提供されるすべてのパッケージが署名されていることを意味し、9.5.0
から始まり、サポートされているブランチの将来のすべてのバージョン(例:2017年8月22日以降9.3.x
、9.4.x
)が署名されています。2017年8月22日以前のパッケージバージョンは署名されません。 パッケージマネージャに適切な引数を渡してください。 (例:yum --nogpgcheck
)
Omnibus GitLabで作成されるパッケージはOmnibusツールで作成されますが、GitLabは独自のフォークでdebsigs
。この追加とRPM署名の既存機能を組み合わせることで、GitLabはDEBまたはRPMを使用してサポートされているすべてのディストリビューションに対して署名されたパッケージを提供することができます。
これらのパッケージは、Omnibus GitLabプロジェクトにあるように、GitLab CIプロセスによって、https://packages.gitlab.com に配信される前に生成されます。
GnuPG公開鍵
これらのパッケージの署名に使用された鍵は、pgp.mit.eduの0x3cfcf9baf27eab47にあります。
署名の検証
GitLab パッケージシグネチャの検証方法はPackage Signaturesにあります。
GPG署名管理
GitLab がパッケージ署名用の GPG 鍵をどのように管理しているかについては、ランブックに記載されています。