イメージダイジェスト
コンテナイメージを一意かつ不変に識別する暗号学的ハッシュ（SHA-256）。別の内容へ付け替えられるタグと違い、ダイジェストは常に完全に同じバイト列を指す。再現性があり安全なデプロイの基礎だ。
問題は、:latestや:v1.2のようなタグが「可変の名前」だということ。同じタグで再プッシュされれば、気付かないうちに別のイメージに移ってしまい、「同じ」タグのデプロイが違う内容になりうる。ダイジェスト（image@sha256:abc123...）は内容から計算されるので、同じダイジェストなら同じバイト列だと保証される。
利点は、テストしたものがそのままデプロイされる再現性、信頼するタグの中身をすり替えられないセキュリティ、そしてSigstore／cosignで署名・検証できるサプライチェーンの完全性だ。本番ではタグだけでなくダイジェストで固定するのがベストプラクティスである。引き換えに可読性は落ち、新しいイメージが欲しいときは更新が必要になる。