Sigstore
オープンソースのサプライチェーン署名基盤。長期保管の鍵ペアの代わりにOIDCのIDで、コンテナ、パッケージ、ファイルに署名する。2021年、Linux Foundation。
構成要素は三つ。OIDCトークンから短命の証明書を発行する認証局Fulcio、全署名をMerkle木で記録する透明性ログRekor、そしてCLIとライブラリのCosignだ。無料の公開インスタンスはLinux Foundationが運営している。
Kubernetesのリリース署名、npmのプロベナンス、PyPIのTrusted Publishers、Homebrew、GitHub Container Registryがこれを利用している。SLSAへの準拠でも中心的な役割を担う。