Подписание плагинов

Провайдеры OpenTofu, устанавливаемые из реестра, подписаны криптографической подписью, которая проверяется во время установки.

OpenTofu НЕ поддерживает загрузку и использование неподписанных бинарных файлов, но вы можете установить их вручную. Будьте крайне осторожны при этом, поскольку программная аутентификация не выполняется.

Переменные окружения​

OPENTOFU_ENFORCE_GPG_VALIDATION=false​

Было введено временное изменение, позволяющее пропускать проверку GPG при определённых условиях:

• Область действия реестра: это изменение касается только пакетов провайдеров из реестра по умолчанию.
• Доступность ключей: проверка GPG пропускается только в том случае, если ключи GPG провайдера отсутствуют в реестре по умолчанию.
• Временная мера: это временное решение будет действовать до тех пор, пока в реестр по умолчанию не будут добавлены ключи GPG всех провайдеров.

Хотя это обеспечивает гибкость в эксплуатации, уровень гарантии безопасности затронутых пакетов снижается. Пользователям, для которых приоритетом является безопасность, следует задать переменной окружения OPENTOFU_ENFORCE_GPG_VALIDATION значение true, чтобы включить проверку GPG для всех провайдеров.

Удаление в будущем: мы планируем удалить эту функцию после добавления ключей GPG всех провайдеров в реестр по умолчанию и вернуться к строгой проверке GPG для всех провайдеров.

OPENTOFU_ENFORCE_GPG_EXPIRATION=false​

Срок действия многих старых ключей, присутствующих в реестре, истёк, и они больше не являются строго действительными. Исторически Terraform не учитывал срок действия ключей в реестре и игнорировал это поле. При переходе на новую криптографическую библиотеку эта возможность стала доступна. По причинам обратной совместимости сейчас она отключена по умолчанию (задано значение false), но в одном из будущих выпусков значение по умолчанию может измениться на true, когда в реестре появятся процессы, обеспечивающие актуальность ключей.