Sobre a assinatura de commit da Web
Se você habilitar a assinatura de commit da Web, o GitHub Enterprise Server usará automaticamente o GPG para assinar os commits que os usuários fizerem na interface da Web do sua instância do GitHub Enterprise Server. Os commits assinados por GitHub Enterprise Server terão um status verificado. Para obter mais informações, confira "Sobre a verificação de assinatura de commit".
Você pode habilitar a assinatura de commit da Web, alternar a chave privada usada para a assinatura de commit da Web e desabilitar a assinatura de commit da Web.
Habilitar a assinatura de commit da Web
-
No shell administrativo, crie uma chave PGP. Anote o endereço de email e a ID da chave.
Bash gpg --full-generate-key --pinentry-mode=loopback
gpg --full-generate-key --pinentry-mode=loopback
- Use o tipo de chave padrão e pelo menos
4096
bits sem expiração. - Use
web-flow
como o nome de usuário. Se oweb-flow
não estiver disponível ou não puder ser utilizado, use qualquer novo nome de usuário exclusivo. Use esse nome de usuário nas etapas a seguir deste artigo. - Se você tiver um endereço de email sem resposta definido em Console de Gerenciamento, use esse endereço de email. Caso contrário, use qualquer endereço de email, como
web-flow@my-company.com
. O endereço de email não precisa ser válido. - A chave PGP não pode ser protegida por uma frase secreta.
- Use o tipo de chave padrão e pelo menos
-
Defina a chave como uma variável de ambiente para GitHub Enterprise Server, substituindo
<YOUR-KEY-ID>
pela ID da chave GPG.Bash ghe-config "secrets.gpgverify.web-signing-key" "$(gpg --export-secret-keys -a <YOUR-KEY-ID> | awk '{printf "%s\\n", $0}')"
ghe-config "secrets.gpgverify.web-signing-key" "$(gpg --export-secret-keys -a <YOUR-KEY-ID> | awk '{printf "%s\\n", $0}')"
-
Atualize as configurações para o serviço de assinatura de commit de GitHub Enterprise Server.
Bash sudo consul-template -once -template /etc/consul-templates/etc/nomad-jobs/gpgverify/gpgverify.hcl.ctmpl:/etc/nomad-jobs/gpgverify/gpgverify.hcl nomad job run /etc/nomad-jobs/gpgverify/gpgverify.hcl
sudo consul-template -once -template /etc/consul-templates/etc/nomad-jobs/gpgverify/gpgverify.hcl.ctmpl:/etc/nomad-jobs/gpgverify/gpgverify.hcl nomad job run /etc/nomad-jobs/gpgverify/gpgverify.hcl
-
Habilite a assinatura de commit da Web.
Bash ghe-config app.github.web-commit-signing-enabled true
ghe-config app.github.web-commit-signing-enabled true
-
Crie um usuário no sua instância do GitHub Enterprise Server por meio da autenticação integrada ou da autenticação externa. Para obter mais informações, confira "Sobre o gerenciamento de identidades e acesso".
- O nome de usuário do usuário precisa ser o mesmo usado quando a chave PGP foi criada na etapa 1 acima, por exemplo,
web-flow
. - O endereço de email do usuário precisa ser o mesmo endereço que você usou ao criar a chave PGP.
- O nome de usuário do usuário precisa ser o mesmo usado quando a chave PGP foi criada na etapa 1 acima, por exemplo,
-
Execute o comando a seguir, substituindo KEY-ID por sua ID de chave PGP.
Bash gpg --armor --export KEY-ID
gpg --armor --export KEY-ID
-
Copie a chave PGP, começando com
-----BEGIN PGP PUBLIC KEY BLOCK-----
e terminando com-----END PGP PUBLIC KEY BLOCK-----
. -
Entre em GitHub Enterprise Server como o usuário criado para assinatura de confirmação da Web, por exemplo,
web-flow
. -
Adicione a chave PGP pública ao perfil do usuário. Para obter mais informações, confira "Como adicionar uma chave GPG a uma conta do GitHub".
Note
Não remova outras chaves públicas da lista de chaves GPG. Se uma chave pública for excluída, todas as confirmações assinadas com a chave privada correspondente não serão mais marcadas como verificadas.
-
Em uma conta administrativa no GitHub Enterprise Server, no canto superior direito de qualquer página, clique em .
-
Se você ainda não estiver na página "Administração do site", no canto superior esquerdo, clique em Administração do site.
-
Na barra lateral " Administrador do site", clique em Console de Gerenciamento .
-
Na barra lateral Configurações, clique em Email.
-
Em "Endereço de email sem resposta", digite o mesmo endereço de email usado ao criar a chave PGP.
Note
O campo “No-reply email address” só será exibido se você tiver habilitado o email no sua instância do GitHub Enterprise Server. Para obter mais informações, confira "Configurar notificações de e-mail".
-
Na barra lateral "Configurações", clique em Salvar configurações.
Note
Se você salvar as configurações no Console de Gerenciamento, isso reiniciará os serviços do sistema, o que poderá resultar em tempo de inatividade visível pelo usuário.
-
Aguarde a conclusão da execução de suas configurações.
Girar a chave privada usada para assinatura de commit da Web
-
No shell administrativo, crie uma chave PGP. Anote o endereço de email e a ID da chave.
Bash gpg --full-generate-key --pinentry-mode=loopback
gpg --full-generate-key --pinentry-mode=loopback
- Use o tipo de chave padrão e pelo menos
4096
bits sem expiração. - Use o nome de usuário do usuário de assinatura de commit da Web, por exemplo,
web-flow
. - Use o endereço de email sem resposta definido no Console de Gerenciamento, que deve ser igual ao endereço de email do usuário de assinatura de commit da Web, por exemplo,
web-flow
. - A chave PGP não pode ser protegida por uma frase secreta.
- Use o tipo de chave padrão e pelo menos
-
Defina a chave como uma variável de ambiente para GitHub Enterprise Server, substituindo
<YOUR-KEY-ID>
pela ID da chave GPG.Bash ghe-config "secrets.gpgverify.web-signing-key" "$(gpg --export-secret-keys -a <YOUR-KEY-ID> | awk '{printf "%s\\n", $0}')"
ghe-config "secrets.gpgverify.web-signing-key" "$(gpg --export-secret-keys -a <YOUR-KEY-ID> | awk '{printf "%s\\n", $0}')"
-
Atualize as configurações para o serviço de assinatura de commit de GitHub Enterprise Server.
Bash sudo consul-template -once -template /etc/consul-templates/etc/nomad-jobs/gpgverify/gpgverify.hcl.ctmpl:/etc/nomad-jobs/gpgverify/gpgverify.hcl nomad job run /etc/nomad-jobs/gpgverify/gpgverify.hcl
sudo consul-template -once -template /etc/consul-templates/etc/nomad-jobs/gpgverify/gpgverify.hcl.ctmpl:/etc/nomad-jobs/gpgverify/gpgverify.hcl nomad job run /etc/nomad-jobs/gpgverify/gpgverify.hcl
-
Execute o comando a seguir, substituindo KEY-ID por sua ID de chave PGP.
Bash gpg --armor --export KEY-ID
gpg --armor --export KEY-ID
-
Copie a chave PGP, começando com
-----BEGIN PGP PUBLIC KEY BLOCK-----
e terminando com-----END PGP PUBLIC KEY BLOCK-----
. -
Entre em GitHub Enterprise Server como o usuário criado para assinatura de confirmação da Web, por exemplo,
web-flow
. -
Adicione a chave PGP pública ao perfil do usuário. Para obter mais informações, confira "Como adicionar uma chave GPG a uma conta do GitHub".
Note
Não remova outras chaves públicas da lista de chaves GPG. Se uma chave pública for excluída, todas as confirmações assinadas com a chave privada correspondente não serão mais marcadas como verificadas.
Desabilitar a assinatura de commit da Web
Você pode desabilitar a assinatura de commit da Web no sua instância do GitHub Enterprise Server.
-
No shell administrativo, execute o comando a seguir.
Bash ghe-config app.github.web-commit-signing-enabled false
ghe-config app.github.web-commit-signing-enabled false
-
Aplicar a configuração.
Bash ghe-config-apply
ghe-config-apply