Signieren, Verifizieren
helm package --sign erzeugt neben dem
.tgz eine Provenance-Datei .tgz.prov
(PGP-signiert; Secret Key als Export,
gpg --export-secret-keys). Zum Prüfen liest Helm
ab 4.3 auch pubring.kbx und ASCII-armored
Keyrings.
Prüfung: helm verify chart.tgz bzw.
Installation mit --verify, die
.prov muss neben dem Chart abrufbar sein.
gpg --export-secret-keys > ~/.gnupg/secring.gpg helm package --sign --key 'release@example.com' \ --keyring ~/.gnupg/secring.gpg ./shop helm verify shop-1.4.0.tgz helm install shop shop-1.4.0.tgz --verify