cosign
Więcej informacji
- Twórca
- Projekt Sigstore (Linux Foundation)
- Rok
- Typ
- Podpisywanie kontenerów i artefaktów
- Licencja
- Apache 2.0
- Oficjalna strona
- sigstore.dev
- Kod źródłowy
- github.com/sigstore/cosign
Podpisywanie i weryfikacja obrazów kontenerów bez zarządzania kluczami — wykorzystuje tożsamość OIDC („keyless”) wspartą dziennikiem transparentności.
Część pakietu Sigstore (Fulcio jako CA, Rekor jako odporny na manipulacje dziennik). Uruchamiasz cosign sign $image, logujesz się przez GitHub/Google, Sigstore wystawia krótkotrwały certyfikat powiązany z Twoją tożsamością, a podpis ląduje obok obrazu w rejestrze oraz w dzienniku Rekor. Kontrolery admission w Kubernetesie (Kyverno, OPA) mogą wymagać weryfikacji cosign przed wdrożeniem. Standard w wymaganiach SLSA dla łańcucha dostaw.