説明
n: = DTR Web UI を使用してリポジトリ内のすべてのタグを不変にすることは、リポジトリへのプッシュ アクセスを持つ別のユーザーによって「nginx:latest」などのイメージが上書きされるのを防ぐ良い方法ではありません。これは、すべてのタグを不変にすると、リポジトリ内のイメージが更新されなくなり、ユースケースによっては望ましくない場合があるためです。たとえば、ユーザーがセキュリティ パッチを適用して新しいバージョンの「nginx:latest」をプッシュしたい場合、タグが不変の場合はプッシュできません。イメージが別のユーザーによって上書きされるのを防ぐより良い方法は、DTR Web UI を使用して、特定のタグまたはリポジトリにプッシュできるユーザーを制限するプロモーション ポリシーを作成することです1。あるいは、ユーザーは DTR API を使用して、イメージがリポジトリにプッシュされたときにカスタム アクションをトリガーする Webhook を作成することもできます2。参考文献:
* タグが上書きされないようにする | ドッカードキュメント
* Webhook を作成する | ドッカードキュメント

説明
= Docker Content Trust (DCT) は、ユーザーがレジストリ サーバーからプルまたはデプロイするコンテナ イメージの整合性と発行者を検証し、Notary サーバーで署名できるようにする機能です12。DCT は、Docker クライアントとサーバー間の相互 TLS を有効にしません。これは、クライアントとサーバー間の暗号化および認証された通信を保証する別のセキュリティ メカニズムです3。DCT はデジタル署名と更新フレームワーク (TUF) に基づいており、任意のデータ コレクションに対する信頼を提供します1。参考文献:
* Docker におけるコンテンツの信頼 | ドッカードキュメント
* Docker Content Trust: その概要とコンテナ イメージをどのように保護するか
* Docker デーモンソケットを保護する | ドッカードキュメント

説明
「docker swarm Nodes」を使用しても、コマンド ラインから swarm クラスター内のすべてのノードが一覧表示されるわけではありません。docker swarm コマンドは、swarm の初期化または参加、または swarm オプションの管理に使用されます。これには、nodes サブコマンドがありません。コマンドラインから swarm クラスター内のすべてのノードを一覧表示するには、「docker node ls」を使用する必要があります。
参考資料: https://docs.docker.com/engine/reference/commandline/swarm/、
https://docs.docker.com/engine/reference/commandline/node_ls/

説明
= 環境変数 DOCKER_CONTENT_TRUST=1 を設定してコンテンツの信頼を強制するようにローカル Docker エンジンを構成すると、Docker はこのコマンドをブロックします。これは、Docker Content Trust (DCT)1 を使用して署名された信頼できるイメージのみをプル、実行、またはビルドできることを意味します。DCT は、デジタル署名を使用して、特定のイメージ タグの整合性と発行者を検証できるようにする機能です2。myorg/myimage:1.0 が署名されていない場合は、イメージ発行者または信頼できる委任者からの有効な署名がないことを意味します。したがって、Docker では、ベース イメージのソースまたはコンテンツを検証できないため、FROM myorg/myimage:1.0 で始まる Dockerfile からイメージをビルドすることはできません。次のようなエラー メッセージが表示されます。
1.0 の有効な信頼データがありません
このエラーを回避するには、DOCKER_CONTENT_TRUST=0 を設定して DCT を無効にするか、Dockerfile3 のベース イメージとして署名付きイメージ タグを使用する必要があります。参考文献:
* Docker におけるコンテンツの信頼 | ドッカードキュメント
* Docker Content Trust: その概要とコンテナ イメージをどのように保護するか
* コンテンツの信頼による自動化 | ドッカードキュメント