Informationen zur Verifizierung einer Commit-Signatur
Mit GPG oder S/MIME können Sie Tags und Commits lokal signieren. Diese Tags oder Commits werden auf GitHub Enterprise als verifiziert gekennzeichnet, sodass andere Personen darauf vertrauen können, dass die Änderungen aus einer vertrauenswürdigen Quelle stammen.
In diesem Artikel:
- Informationen zur Verifizierung einer Commit-Signatur
- GPG-Verifizierung einer Commit-Signatur
- S/MIME-Verifizierung einer Commit-Signatur
- Signaturverifizierung für Bots
Informationen zur Verifizierung einer Commit-Signatur
Sie können Commits und Tags lokal signieren, sodass andere Personen überprüfen können, ob Ihre Arbeit von einer vertrauenswürdigen Quelle stammt. Wenn ein Commit oder Tag eine GPG- oder S/MIME-Signatur hat, die kryptografisch verifiziert werden kann, wird der Commit oder das Tag von GitHub Enterprise als verifiziert gekennzeichnet.
Wenn ein Commit oder Tag eine Signatur hat, die nicht verifiziert werden kann, wird der Commit oder das Tag von GitHub Enterprise als nicht verifiziert gekennzeichnet.
Repository-Administratoren können die obligatorische Commit-Signatur auf einem Branch erzwingen, um alle Commits zu blockieren, die nicht signiert und verifiziert sind. Weitere Informationen finden Sie unter „Informationen zur obligatorischen Commit-Signatur“.
Sie können den Verifizierungsstatus Ihrer signierten Commits oder Tags auf GitHub Enterprise überprüfen und einsehen, warum Ihre Commit-Signaturen möglicherweise nicht verifiziert sind. Weitere Informationen finden Sie unter „Verifizierungsstatus Ihrer Commit- und Tag-Signaturen überprüfen“.
GPG-Verifizierung einer Commit-Signatur
Sie können GPG verwenden, um Commits mit einem GPG-Schlüssel zu signieren, den Sie selbst generieren.
GitHub Enterprise verwendet OpenPGP-Bibliotheken, um zu bestätigen, dass Ihre lokal signierten Commits und Tags kryptographisch mit einem öffentlichen Schlüssel verifizierbar sind, den Sie zu Ihrem GitHub Enterprise-Konto hinzugefügt haben.
Um Commits mit GPG zu signieren und diese Commits auf GitHub Enterprise verifizieren zu lassen, führen Sie die folgenden Schritte aus:
- Überprüfen Sie, ob GPG-Schlüssel vorhanden sind.
- Generieren Sie einen neuen GPG-Schlüssel.
- Fügen Sie einen neuen GPG-Schlüssel zu Ihrem GitHub-Konto hinzu.
- Informieren Sie Git über Ihren Signaturschlüssel.
- Signieren Sie Commits.
- Signieren Sie Tags.
S/MIME-Verifizierung einer Commit-Signatur
Sie können S/MIME verwenden, um Commits mit einem von Ihrer Organisation ausgegebenen X.509-Schlüssel zu signieren.
GitHub Enterprise verwendet das Debian-CA-Zertifikatpaket, den gleichen Trust Store, der auch von Mozilla-Browsern verwendet wird, um zu bestätigen, dass Ihre lokal signierten Commits und Tags kryptographisch mit einem öffentlichen Schlüssel in einem vertrauenswürdigen Stammzertifikat verifizierbar sind.
Note: S/MIME signature verification is available in Git 2.19 or later. To update your version of Git, see the Git website.
Um Commits mit S/MIME zu signieren und diese Commits auf GitHub Enterprise verifizieren zu lassen, führen Sie die folgenden Schritte aus:
Sie müssen Ihren öffentlichen Schlüssel nicht auf GitHub Enterprise hochladen.