cosign
Mer info
- Skapad av
- Sigstore-projektet (Linux Foundation)
- År
- Typ
- Container-/artefakt-signering
- Licens
- Apache 2.0
- Officiell sajt
- sigstore.dev
- Källkod
- github.com/sigstore/cosign
Signera och verifiera container-imager utan att hantera nycklar — använder OIDC-identitet ("keyless") backat av en transparency log.
Del av Sigstore-suiten (Fulcio som CA, Rekor som tamper-evident log). Du kör cosign sign $image, loggar in med GitHub/Google, Sigstore utfärdar ett kortlivat cert mappat till din identitet, signaturen läggs i registret bredvid imagen + i Rekor-loggen. Kubernetes admission controllers (Kyverno, OPA) kan kräva cosign-verifiering före deploy. Standard i SLSA-leverenskedjekrav.