Как автоматизировать отправку подписанного образа докера в ACR с помощью Jenkins?

Question

Переход от автономного реестра к ACR с дополнительным требованием доверия к контенту. Вот мой фрагмент Jenkinsfile:

environment {
  DOCKER_CONTENT_TRUST=1
}
steps {
  docker.build("${env.IMAGE_NAME}")        # previously generated, everything works here
  docker.withRegistry("${env.ACR_ENDPOINT", 'credential-id')
    docker.image("${env.IMAGE_NAME}").push()
}

Сборка завершается ошибкой со следующим выводом:

<snip>
10:16:53  2d9eaf1254e1: Pushed
10:16:55  fc5ad04c3ef7: Pushed
10:16:56  1.0.0.14-be4e7be: digest: sha256:fdlskfaskdfaksjdfkajsfdkjsndfkjasdnfkajndsfkjndkfjnfaskdjfnkdjsnakdsjnfakdj size: 2406
10:16:56  Signing and pushing trust metadata
10:16:56  You are about to create a new root signing key passphrase. This passphrase
10:16:56  will be used to protect the most sensitive key in your signing system. Please
10:16:56  choose a long, complex passphrase and be careful to keep the password and the
10:16:56  key file itself secure and backed up. It is highly recommended that you use a
10:16:56  password manager to generate the passphrase and keep it safe. There will be no
10:16:56  way to recover this key. You can find the key in your config directory.
10:16:56  Enter passphrase for new root key with ID 9842jr2: 
<snip>
10:16:56  Enter passphrase for new root key with ID 9842jr2: 
10:16:56  maximum number of passphrase attempts exceeded

Хотя по-прежнему не удается, изображение отправляется в ACR. В ACR включено доверие к контенту, которое IIRC ограничивает отправленные изображения только подписанными. Как я могу решить эту проблему сборки, сохраняя при этом возможность отправлять подписанные изображения? Заранее спасибо.