コミット署名の検証について

コミットとタグにローカルで署名して、行った変更の根拠を他のユーザに信頼してもらうことができます。コミットまたはタグに暗号で検証可能な GPG または S/MIME 署名がある場合、GitHub はコミットまたはタグに「Verified」のマークを付けます。

検証されたコミット

コミットまたはタグに検証できない署名がある場合、GitHub AE はコミットまたはタグを「未検証」としてマークします。

リポジトリ管理者は、ブランチでコミット署名を必須として、署名および検証されていないすべてのコミットをブロックできます。詳しい情報については、「保護されたブランチについて」を参照してください。

GitHub AE上の署名されたコミットあるいはタグの検証ステータスをチェックして、コミットの署名が検証されない理由を見ることができます。詳細は「コミットおよびタグの署名の検証のステータスをチェックする」を参照してください。

GPG コミット署名の検証

自分で生成した GPG キーで、GPG を使ってコミットに署名できます。

GitHub AEは、あなたがローカルで署名したコミットやタグがあなたのGitHub AEアカウントに追加された公開鍵に対して暗号的に検証できることを、OpenPGPライブラリを使って確認します。

GPG を使ってコミットに署名し、それらのコミットを GitHub AE 上で検証済みにするには、以下の手順に従ってください:

S/MIME を使い、自分の Organization で発行した X.509 キーを用いてコミットに署名できます。

GitHub AE は、ローカルに署名されたコミットやタグが信頼されたルート証明書の公開鍵に対して暗号的に検証可能であることを確認するために、Mozilla ブラウザが使うのと同じ信頼ストアであるDebian ca-certificatesパッケージを使います。

ノート： S/MIME署名の検証は、Git 2.19以降で利用できます。 Gitのバージョンをアップデートするには、GitのWebサイトを参照してください。

S/MIME を使ってコミットに署名し、それらのコミットを GitHub AE 上で検証済みにするには、以下の手順に従ってください:

公開鍵を GitHub AEにアップロードする必要はありません。