署名済みコミット

コミットにデジタル署名を追加すると、そのコミットが偽装者からではなく、あなたから発信されたものであるという確証が強化されます。デジタル署名は、信頼性を検証するために使用される暗号学的出力です。

署名されたコミットと検証済みコミットの違いを理解することが重要です:

• 署名されたコミットには、コミットの完全性と信頼性を証明する暗号学的署名が添付されています。署名は秘密キーを使用して作成されます。
• 検証済みコミットには、ユーザーのGitLabプロファイルに保存されている既知の公開キーに対してGitLabが検証できる署名があります。

GitLabが公開キーでコミッターの身元を検証できる場合、そのコミットはGitLab UIで検証済みとマークされます。

GitLabはコミットとタグの署名を検証します。以下の署名方法がサポートされています:

• SSHキー: コミットとタグ
• GPGキー: コミットのみ
• X.509証明書: コミットとタグ

コミットを検証する

マージリクエストのコミット、またはプロジェクト全体のコミットをレビューし、署名されていることを検証するには、次の手順を実行します:

1. 上部のバーで、検索または移動先を選択して、プロジェクトを見つけます。

2. コミットをレビューするには:

   • プロジェクトの場合、コード > コミットを選択します。
   • マージリクエストの場合:
     1. 左サイドバーで、コード > マージリクエストを選択し、目的のマージリクエストを選択します。
     2. コミットを選択します。

3. レビューするコミットを特定します。署名の検証ステータスに応じて、署名されたコミットは検証済みまたは未検証のバッジを表示します。

   

   署名なしコミットはバッジを表示しません。

4. コミットの署名詳細を表示するには、検証済みまたは未検証を選択して、フィンガープリントまたはキーIDを表示します:

   

   

また、コミットAPIを使用して、コミットの署名を確認することもできます。

Web UIコミットを検証する

GitLabは、Web UIを介して作成されたコミットに署名するためにSSHを使用します。これらのコミットをローカルで検証するには、WebコミットAPIを使用して、Webコミット署名用のGitLab公開キーを取得します。

Mailmapメール検出（署名されたコミット用）

検証済み署名されたコミットのコミッターメールが署名ユーザーに対して検証済みでなくなった場合、GitLabは警告サイン( 検証済み)付きのオレンジ色の検証済みバッジを表示します。

これは次の場合に発生する可能性があります:

• コミッターメールがユーザーの検証済みメールから削除された場合。
• A .mailmapファイルがコミッターメールを、署名ユーザーによって検証済みではないアドレスに再マッピングする場合。

緑色の検証済みバッジを復元するには、コミッターメールアドレスをGitLabプロファイルに追加して検証してください。

プッシュルールで署名されたコミットを強制する

プッシュルールを使用して、プロジェクト全体で署名されたコミットを要求できます。署名されていないコミットを拒否プッシュルールは、署名なしコミットがリポジトリにプッシュされるのを防ぎ、組織がコードの完全性を維持し、コンプライアンス要件を満たすのに役立ちます。

このルールの仕組みと制限事項の詳細については、署名されたコミットを要求するを参照してください。

トラブルシューティング

署名されたコミットの検証問題の修正

GPGキーまたはX.509証明書で署名されたコミットの検証プロセスは、複数の理由で失敗する可能性があります: