= イメージタグが署名されておらず、環境変数 DOCKER_CONTENT_TRUST が 1 に設定されている場合、Docker はコマンド docker image inspect myorg/myimage: 1.0 をブロックします。これは、Docker Content Trust (DCT) がデジタル署名1を用いて Docker イメージの整合性と発行元の検証を可能にするためです。DCT が有効な場合、Docker は有効な署名2 を持つイメージのみをプル、実行、または検査します。イメージタグが署名されていない場合、Docker はコマンドを拒否し、「No valid trust data for 1.03」などのエラーメッセージを表示します。
署名されていないイメージを検査するには、DOCKER_CONTENT_TRUST を 0 に設定して DCT を無効にするか、コマンドで --disable-content-trust フラグを使用する必要があります。参考資料:
* Docker におけるコンテンツの信頼 | Docker ドキュメント
* Docker でのコンテンツ信頼の有効化と無効化 | Docker ドキュメント
* Docker コンテンツ トラスト: コンテナ イメージのセキュリティ保護方法
* [docker イメージの検査 | Docker ドキュメント]

コマンド「docker run --volume /data:/mydata:ro ubuntu」は、ホストの「/data」ディレクトリをUbuntuコンテナに読み取り専用モードでマウントします。--volume または -v オプションを使用すると、ホストのディレクトリまたはファイルをコンテナにボリューム1としてマウントできます。このオプションの構文は次のとおりです。
-v|--volume=[ホストソース:]コンテナの保存先[:<オプション>]
host-src は絶対パスまたは名前値で指定できます。container-dest は絶対パスでなければなりません。options は、読み取り専用の場合は ro、読み書き可能の場合は rw、SELinux ラベルの場合は z または Z など、カンマ区切りのマウントオプションのリストで指定できます1。この場合、host-src は /data、container-dest は /mydata、option は ro です。これは、コンテナがボリュームからデータを読み取ることはできますが、書き込むことはできないことを意味します2。これは、コンテナによって変更されてはならない設定ファイルやその他のデータを共有する場合に便利です3。参考：
ボリュームの使用 | Docker ドキュメント
Docker 実行リファレンス | Docker ドキュメント
Docker - ボリューム - Tutorialspoint

Docker コンテンツ トラスト (DCT) は、レジストリ サーバーからプルまたはデプロイし、Notary サーバーで署名されたコンテナー イメージの整合性と発行元をユーザーが検証できるようにする機能です1。DCT は、Docker クライアントで環境変数 DOCKER_CONTENT_TRUST=1 を設定することで有効になります。DCT が有効になっていると、Docker クライアントは特定のタグの有効な署名を持つイメージのみをプル、実行、またはビルドします2。ただし、DCT は docker image import コマンドには適用されません。このコマンドを使用すると、ユーザーはファイルまたは STDIN3 からリポジトリとタグを含むイメージまたは tarball をインポートできます。したがって、myorg/myimage:1.0 が署名されていない場合、DCT が有効であっても、Docker は docker image import <tarball> myorg/myimage:1.0 コマンドをブロックしません。これは、docker image import コマンドがレジストリや Notary サーバーとやり取りしないため、署名の検証を行わないからです。ただし、これはインポートされたイメージに信頼データが関連付けられておらず、有効なキーで署名されていない限り、DCT が有効になっているレジストリにプッシュできないことを意味します。参考資料:
* Dockerにおけるコンテンツの信頼
* コンテンツの信頼性を備えた自動化
* [dockerイメージのインポート]
* [コンテンツの信頼性と画像タグ]