Discourse の Docker イメージは署名されていません

jenslauterbach · 2019 年 12 月 27 日午後 6:32

こんにちは、

現在、新しいマシンで Discourse のセットアップを試みています。discourse_docker リポジトリをチェックアウトし、./launcher rebuild app を実行しました。（以前からの設定を持っていたため、ブートストラップはスキップしました）

リビルドの結果、以下のような出力が表示されました。

WARNING: We are about to start downloading the Discourse base image
This process may take anywhere between a few minutes to an hour, depending on your network speed

Please be patient

ERRO[0001] Metadata for targets expired
ERRO[0002] Metadata for targets expired
/usr/bin/docker: Error: remote repository docker.io/discourse/base out-of-date: targets expired at Mon Nov 18 12:52:09 -0500 2019.
See '/usr/bin/docker run --help'.
Your Docker installation is not working correctly

See: https://meta.discourse.org/t/docker-error-on-bootstrap/13657/18?u=sam

問題の根本原因を突き止めるため、実行されているコマンドを確認し、デバッグモードで実行しました。

/usr/bin/docker --debug run -i --rm -a stdout -a stderr discourse/base:2.0.20191219-2109 echo working

参照: discourse_docker/launcher at 1b3dd3a41b544592be46b39db563bb757f88bbad · discourse/discourse_docker · GitHub

コマンドの出力:

DEBU[0000] reading certificate directory: /root/.docker/tls/notary.docker.io
DEBU[0000] No yubikey found, using alternative key storage: no library found
DEBU[0000] Making dir path: /root/.docker/trust/tuf/docker.io/discourse/base/changelist
DEBU[0000] entered ValidateRoot with dns: docker.io/discourse/base
DEBU[0000] found the following root keys: [5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8]
DEBU[0000] found 1 valid leaf certificates for docker.io/discourse/base: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0000] found 1 leaf certs, of which 1 are valid leaf certs for docker.io/discourse/base
DEBU[0000] checking root against trust_pinning config for docker.io/discourse/base
DEBU[0000] checking trust-pinning for cert: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0000]  role has key IDs: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0000] verifying signature for key ID: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0000] root validation succeeded for docker.io/discourse/base
DEBU[0000] entered ValidateRoot with dns: docker.io/discourse/base
DEBU[0000] found the following root keys: [5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8]
DEBU[0000] found 1 valid leaf certificates for docker.io/discourse/base: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0000] found 1 leaf certs, of which 1 are valid leaf certs for docker.io/discourse/base
DEBU[0000] checking root against trust_pinning config for docker.io/discourse/base
DEBU[0000] checking trust-pinning for cert: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0000]  role has key IDs: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0000] verifying signature for key ID: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0000] root validation succeeded for docker.io/discourse/base
DEBU[0000] updating TUF client
DEBU[0000] Loading timestamp...
DEBU[0001] 200 when retrieving metadata for timestamp
DEBU[0001] timestamp role has key IDs: db679e1f17a2a2bdd9952b6f37c9048635611f162bc6a0957ec30fbb1412d366
DEBU[0001] verifying signature for key ID: db679e1f17a2a2bdd9952b6f37c9048635611f162bc6a0957ec30fbb1412d366
DEBU[0001] timestamp role has key IDs: db679e1f17a2a2bdd9952b6f37c9048635611f162bc6a0957ec30fbb1412d366
DEBU[0001] verifying signature for key ID: db679e1f17a2a2bdd9952b6f37c9048635611f162bc6a0957ec30fbb1412d366
DEBU[0001] successfully verified downloaded timestamp
DEBU[0001] Loading snapshot...
DEBU[0001] snapshot role has key IDs: e88a99d5b23301178976a4a103df4716f7943301d9972db0541bfa17c94cb75b
DEBU[0001] verifying signature for key ID: e88a99d5b23301178976a4a103df4716f7943301d9972db0541bfa17c94cb75b
DEBU[0001] successfully verified cached snapshot
DEBU[0001] Loading targets...
DEBU[0001] no targets in cache, must download
DEBU[0001] 200 when retrieving metadata for targets.09b50021560effa664eb8271cd16e2212ed55b7b63b2127cf9a0e69cfe2b47b7
DEBU[0001] targets role has key IDs: c016860a9293a48bc98f27b9c36d81515f4bcc3dd2ec93bb2d6d8af8f37a39d2
DEBU[0001] verifying signature for key ID: c016860a9293a48bc98f27b9c36d81515f4bcc3dd2ec93bb2d6d8af8f37a39d2
ERRO[0001] Metadata for targets expired
DEBU[0001] downloaded targets.09b50021560effa664eb8271cd16e2212ed55b7b63b2127cf9a0e69cfe2b47b7 is invalid: targets expired at Mon Nov 18 12:52:09 -0500 2019
DEBU[0001] Client Update (Targets): targets expired at Mon Nov 18 12:52:09 -0500 2019
DEBU[0001] Error occurred. Root will be downloaded and another update attempted
DEBU[0001] Resetting the TUF builder...
DEBU[0001] entered ValidateRoot with dns: docker.io/discourse/base
DEBU[0001] found the following root keys: [5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8]
DEBU[0001] found 1 valid leaf certificates for docker.io/discourse/base: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0001] found 1 leaf certs, of which 1 are valid leaf certs for docker.io/discourse/base
DEBU[0001] found the following root keys: [5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8]
DEBU[0001] found 1 valid leaf certificates for docker.io/discourse/base: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0001] found 1 valid root leaf certificates for docker.io/discourse/base: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0001]  role has key IDs: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0001] verifying signature for key ID: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0001] checking root against trust_pinning config for docker.io/discourse/base
DEBU[0001] checking trust-pinning for cert: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0001]  role has key IDs: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0001] verifying signature for key ID: 5f5ba22b20768b8f2d49e9035400a1922ae761aa70b5bb0d930fe91dd06bd5d8
DEBU[0001] root validation succeeded for docker.io/discourse/base
DEBU[0001] successfully verified cached root
DEBU[0001] retrying TUF client update
DEBU[0001] Loading timestamp...
DEBU[0002] 200 when retrieving metadata for timestamp
DEBU[0002] timestamp role has key IDs: db679e1f17a2a2bdd9952b6f37c9048635611f162bc6a0957ec30fbb1412d366
DEBU[0002] verifying signature for key ID: db679e1f17a2a2bdd9952b6f37c9048635611f162bc6a0957ec30fbb1412d366
DEBU[0002] successfully verified downloaded timestamp
DEBU[0002] Loading snapshot...
DEBU[0002] snapshot role has key IDs: e88a99d5b23301178976a4a103df4716f7943301d9972db0541bfa17c94cb75b
DEBU[0002] verifying signature for key ID: e88a99d5b23301178976a4a103df4716f7943301d9972db0541bfa17c94cb75b
DEBU[0002] successfully verified cached snapshot
DEBU[0002] Loading targets...
DEBU[0002] no targets in cache, must download
DEBU[0002] 200 when retrieving metadata for targets.09b50021560effa664eb8271cd16e2212ed55b7b63b2127cf9a0e69cfe2b47b7
DEBU[0002] targets role has key IDs: c016860a9293a48bc98f27b9c36d81515f4bcc3dd2ec93bb2d6d8af8f37a39d2
DEBU[0002] verifying signature for key ID: c016860a9293a48bc98f27b9c36d81515f4bcc3dd2ec93bb2d6d8af8f37a39d2
ERRO[0002] Metadata for targets expired
DEBU[0002] downloaded targets.09b50021560effa664eb8271cd16e2212ed55b7b63b2127cf9a0e69cfe2b47b7 is invalid: targets expired at Mon Nov 18 12:52:09 -0500 2019
DEBU[0002] Client Update (Targets): targets expired at Mon Nov 18 12:52:09 -0500 2019
/usr/bin/docker: Error: remote repository docker.io/discourse/base out-of-date: targets expired at Mon Nov 18 12:52:09 -0500 2019.
See '/usr/bin/docker run --help'.

なぜこのようなことが起こるのか見当もつきません。git の履歴を確認し、以前使用していたベースイメージに戻して動作を確認しましたが、結果は同じでした。

参照: Bump base image · discourse/discourse_docker@1b3dd3a · GitHub

ご支援いただければ幸いです

更新 #1

@Falco からの提案により、Docker フォーラムにこの問題について投稿しました。

Falco · 2019 年 12 月 27 日午後 6:42

お使いの OS で利用可能な最新バージョンの Docker にアップデートしてから、再度お試しください。

jenslauterbach · 2019 年 12 月 27 日午後 6:46

@Falco さん、返信ありがとうございます。

私は最新の Docker バージョンを実行しています。

Docker version 19.03.5, build 633a0ea838

詳細はこちら：Engine v29 | Docker Docs

これに言及しなかったこと、申し訳ありません

Falco · 2019 年 12 月 27 日午後 6:51

つまり、単純な

docker pull discourse/base:2.0.20191219-2109

が失敗しているということですか？

jenslauterbach · 2019 年 12 月 27 日午後 6:52

はい。このコマンドは、私の最初の投稿で説明したのと同じように失敗します。

ERRO[0001] Metadata for targets expired
ERRO[0002] Metadata for targets expired
Error: remote repository docker.io/discourse/base out-of-date: targets expired at Mon Nov 18 12:52:09 -0500 2019

Falco · 2019 年 12 月 27 日午後 6:56

それは非常に奇妙ですね。サーバーの時刻は合っていますか？何か奇妙なキャッシュやファイアウォールなどが原因でしょうか？

jenslauterbach · 2019 年 12 月 27 日午後 7:00

@Falco 私の時計は同期されているようです:

$ timedatectl status

                      Local time: 2019-12-27 金 19:57:48 CET
                  Universal time: 2019-12-27 金 18:57:48 UTC
                        RTC time: 2019-12-27 金 18:57:49
                       Time zone: Europe/Berlin (CET, +0100)
       System clock synchronized: yes
systemd-timesyncd.service active: yes
                 RTC in local TZ: no

Ubuntu 18.04 LTS を実行しています。

jenslauterbach · 2019 年 12 月 27 日午後 7:03

他のコンテナは問題なく動作することにも触れておきます。したがって、これはどうやら Discourse イメージに関連しているようです。

Falco · 2019 年 12 月 27 日午後 7:05

さて、docker pull discourse/base:2.0.20191219-2109 は、複数の OS や、異なる大陸のさまざまなクラウドプロバイダーで問題なく実行できます。つまり、これはあなたのローカルコンピューターや Docker のインストールに固有の問題だと思われます。

これは docker サービスからのエラーですので、https://forums.docker.com/ でサポートをお求めください。

jenslauterbach · 2019 年 12 月 27 日午後 7:06

承知しました、@Falco さん。これまでのご支援に感謝いたします

jenslauterbach · 2019 年 12 月 27 日午後 10:06

@Falco Docker フォーラムに投稿し、返信をいただきました。

問題は DOCKER_CONTENT_TRUST=1 と関連しています。

この問題を再現するには、以下のコマンドを実行してください:

$ export DOCKER_CONTENT_TRUST=1
$ docker pull discourse/base:2.0.20191219-2109

Falco · 2019 年 12 月 27 日午後 10:08

なるほど、なぜローカルマシンでこのフラグを有効にしたのですか？Ubuntu ではデフォルトでは有効になっていません。

jenslauterbach · 2019 年 12 月 27 日午後 10:09

インターネット上でサーバーをセットアップしています。これはローカルマシン上ではありません。サーバーは「ハードened」である必要があるため、このオプションが有効になっています。

Falco · 2019 年 12 月 27 日午後 10:15

Ubuntu Serverでもデフォルトでは有効化されていません。

jenslauterbach · 2019 年 12 月 27 日午後 10:24

その通りです @Falco さん。有効化しました。現時点で確認できる限り、Discourse のイメージは適切に署名されていないか、全く署名されていないようです（現在調査中です）。

いずれにせよ、署名されたイメージやタグを持つことは望ましいことです。DCT を使用しているのは私だけではないだろうと思います。

これは Docker Bench Security などの監査ツールの一部です（以下参照）：

4.5  - Ensure Content trust for Docker is Enabled

当面はこれを無効化できますが、Discourse のイメージについても署名されたイメージやタグが提供されるなら素晴らしいですね

jenslauterbach · 2019 年 12 月 27 日午後 10:41

このイシューをクローズするために、機能リクエストを作成すべきでしょうか？

Stephen · 2019 年 12 月 28 日午前 5:50

現時点では、推奨されるインストール手順から外れるため、この設定は「サポート対象外」としてタグ付けされます。これにより、他のユーザーが同じ間違いをしないようにします。

トピック		返信	表示
500 Error trying to upgrade discourse Self-hosting	10	382	2024 年 4 月 17 日
Community supported official docker image Development	35	8662	2022 年 7 月 22 日
Is Docker image discourse/discourse considered safe and production-ready? Self-hosting hosting	22	1739	2026 年 3 月 31 日
Tag 1.3.10 not found on reload Support	7	1312	2017 年 1 月 17 日
Manually update Discourse and Docker image to latest Self-Hosting how-to	15	109077	2025 年 1 月 16 日

Discourse の Docker イメージは署名されていません

関連トピック