注意：1. 容器镜像签名功能仅支持 TCR 企业版高级版实例，不支持基础版及标准版实例。
注意：2. 容器镜像签名当前为 Beta 功能，功能使用过程中如遇到异常，你可 在线咨询 联系我们。
一、前提条件
在使用镜像签名功能前，你需要完成以下准备工作：
·已成功 购买企业版（高级版）实例。
·如果使用子账号进行操作，请参考 企业版授权方案示例 提前为子账号授予对应实例的操作权限。
·已开通 密钥管理服务。
二、创建非对称签名验签密钥
1. 登录 密钥管理系统（合规）控制台。
2. 在密钥管理 > 用户密钥中，单击新建。
3. 在“新建密钥”弹窗中，配置密钥参数，单击确定。容器签名功能要求 KMS 的密钥用途为“非对称签名验签”，加密算法为“RSA_2048”，其他参数配置请参见 创建密钥。
注意：说明：
注意：TCR 支持获取 KMS 服务全地域下的用户密钥，为降低跨地域间的通信开销，建议 KMS 用户密钥和镜像仓库实例位于相同地域下。
三、授权容器镜像服务使用 KMS 密钥
为让 TCR 服务可以读取到你账号下的非对称签名验签密钥，需要在你的账号配置如下策略。
1. 登录 访问管理控制台。
2. 在角色页面，单击TCR_QCSRole。
3. 在 TCR_QCSRole 角色详情页，关联预设策略 QcloudKMSFullAccess：
四、创建镜像签名策略
1. 登录 容器镜像服务控制台。
2. 在实例管理页面中选择目标镜像仓库实例。
3. 选择左侧导航栏中的镜像安全，进入镜像签名详情页。
4. 单击新建，在“新建签名策略”弹窗中，填写以下信息：
·策略名称：镜像签名策略名称。长度限制在2-50个字符，只能包含小写字母、数字及分隔符("."、"_"、"-"，"/")且不能以分隔符开头、结尾或连续。
·命名空间：镜像签名策略生效的命名空间，一个命名空间下仅支持创建一个签名策略。
·KMS 密钥：支持签名操作的 KMS 用户密钥，仅支持加载“非对称签名验签RSA2048”用途密钥。
·域名：用于访问仓库实例服务。
5. 单击确认完成签名策略的创建。
注意：说明：
五、查看镜像签名状态
·可在命名空间页面查看是否开启加签策略。如下：
·可在镜像仓库 > 版本管理页面查看镜像是否开启加签策略。针对开启加签策略前已推送至仓库的镜像，可以在操作中手动触发加签。如下：
六、删除镜像签名策略
在镜像签名页面选择需要删除的签名策略，单击删除。在弹出的“删除签名策略”窗口中单击确认。如下：
注意：删除签名策略的同时会删除存量命名空间内的镜像签名信息，可能会造成签名验证失败，请谨慎操作。
七、相关文档
你可以在 TKE 集群中使用增强组件进行自动验签，设置相应策略在验签失败时阻断镜像部署。详情请参见 容器镜像签名验证。