cosign
詳細情報
- 作者
- Sigstoreプロジェクト（Linux Foundation）
- 公開
- 種類
- コンテナ／成果物への署名
- ライセンス
- Apache 2.0
- 公式サイト
- sigstore.dev
- ソースコード
- github.com/sigstore/cosign
鍵を管理せずにコンテナイメージへ署名し検証するツール。透明性ログに支えられたOIDC ID（「キーレス」）を使う。
Sigstoreスイートの一部で、Fulcioが認証局、Rekorが改ざん検知可能なログを担う。cosign sign $image を実行してGitHubやGoogleでログインすると、Sigstoreがあなたの身元に紐づく短命の証明書を発行し、署名はレジストリ上のイメージの隣とRekorログに保存される。KubernetesのAdmission Controller（Kyverno、OPA）で、デプロイ前にcosignによる検証を必須にできる。SLSAのサプライチェーン要件でも標準的な手段である。