説明
イメージタグ myorg/myimage:1.0 が署名されておらず、環境変数 DOCKER_CONTENT_TRUST=1 が設定されている場合、Docker はコマンド docker container run myorg/myimage:1.0 をブロックします。これは、DOCKER_CONTENT_TRUST=1 を設定すると、Docker Content Trust (DCT) が有効になるためです。DCT は、ユーザーがデジタル署名を使用して Docker イメージの整合性と発行元を検証できる機能です。
DCT が有効になっている場合、Docker は有効な署名を持つイメージのみをプル、実行、またはビルドします。イメージ タグに署名がない場合、または署名が無効な場合、Docker は操作を拒否し、エラー メッセージ 2 を表示します。したがって、DCT が有効になっている状態で署名されていないイメージを実行するには、DOCKER_CONTENT_TRUST=0 を設定して DCT を無効にするか、--disable-content-trust フラグを使用するか、または有効なキー 3 でイメージ タグに署名する必要があります。参考資料:
* Dockerにおけるコンテンツの信頼性
* Dockerイメージが署名されているか、署名されていないかを判定する
* イメージへの署名とDockerコンテンツトラストの有効化

説明
networkPolicy は、tier: backend ラベルを持つポッドから tier: を持つポッドへのトラフィックをブロックします。
フロントエンド ラベル。networkPolicy では、ポート 801 で app: guestbook-api および tier: backend ラベルを持つポッドにアクセスできるのは、tier: frontend ラベルを持つポッドのみと指定されています。バックエンド ポッドへのその他のトラフィックは、デフォルトで拒否されます。したがって、tier: backend ラベルを持つポッドから tier: frontend ラベルを持つポッドへのリクエストは、networkPolicy によってブロックされます。参照: サービスを使用したフロントエンドとバックエンドの接続、ネットワーク ポリシー)

説明
Docker Trusted Registry (DTR) から自己署名証明書を信頼するには、証明書をクラスタノードの適切な場所に配置し、Docker デーモンを再起動する必要があります。証明書の配置場所は、OS と Docker のバージョンによって 2 つあります。
*/etc/docker/certs.d/dtr.example.com/ca.crt: これは、Linux システムおよび Docker バージョン 1.13 以降で推奨される場所です。このディレクトリは、各レジストリ ドメインの証明書とキーについて Docker によってスキャンされます 2。
*OS証明書パス：これは、他のOSおよびDockerバージョンのフォールバック場所です。OSの証明書ストアを見つけて、そこに証明書をコピーする必要があります。また、システム全体で証明書を信頼する必要がありますが、OSによっては追加の手順が必要になる場合があります。
他の選択肢が正しくない理由は以下のとおりです。
*Dockerクライアントに「-trust-certificate ca.crt」を渡すことは有効なオプションではありません。Dockerクライアント4にはそのようなフラグはありません。
*証明書を「/etc/docker/dtr/dtr.example.com.crt」に配置するのは有効な場所ではありません。証明書は「/etc/docker/dtr」ディレクトリではなく、「/etc/docker/certs.d」ディレクトリに配置する必要があります。
*Dockerクライアントに-insecure-registryを渡すことは推奨されません。このフラグはレジストリのTLS検証を無効にするため、通信が安全ではなくなり、攻撃に対して脆弱になります。
参考文献：
*自己署名証明書を使用する | Dockerドキュメント
*安全でないレジストリをテストする | Dockerドキュメント
ホストOSにTLS証明書を信頼できるルート認証局として追加する | Dockerドキュメント
*docker | Dockerドキュメント
*[レジストリサーバーのデプロイ | Dockerドキュメント]

コマンド docker logs <container-id> では、Docker コンテナが Splunk などのログ記録ソリューションにコンテナ ログをエクスポートするように構成されません。このコマンドは、特定のコンテナのログを標準出力またはファイルに表示するだけで、外部システム 1 には送信しません。コンテナ ログを Splunk にエクスポートするには、Docker コンテナにログ記録機能を提供するプラグインである Docker Logger Drivers を使用する必要があります 2。Splunk ログ記録ドライバーは、コンテナ ログを Splunk Enterprise および Splunk Cloud の HTTP Event Collector に送信します 3。特定のコンテナに Splunk ログ記録ドライバーを使用するには、docker run でコマンドライン フラグ --log-driver と --log-opt を使用し、オプションとして Splunk トークンと URL を指定する必要があります 3。例:
$ docker run --log-driver=splunk --log-opt splunk-token=VALUE --log-opt splunk-url=VALUE ...
参考文献：
* Dockerログ | Dockerドキュメント
* ロギングドライバ | Dockerドキュメント
* Splunkロギングドライバ | Dockerドキュメント

説明
= Docker Content Trust の目的は、リモート Docker レジストリとの間で送受信されるデータに対してデジタル署名を使用してイメージ タグに署名および検証することです 12。これにより、特定のイメージ タグの整合性と発行元をクライアント側または実行時に検証することができ、コンテナ イメージの出所とセキュリティが保証されます 34。参考文献:
* 1: Dockerにおけるコンテンツの信頼性 | Dockerドキュメント
* 2: Docker Content Trust: その概要とコンテナイメージの保護方法
* 3: Azure Pipelines における Docker コンテンツの信頼性 - Azure Pipelines
* 4: 4.5 Docker のコンテンツ信頼が有効になっていることを確認する | Tenable