cosign
Daha fazla bilgi
- Yaratıcı
- Sigstore projesi (Linux Foundation)
- Yayın
- Tür
- Konteyner / yapıt imzalama
- Lisans
- Apache 2.0
- Resmî site
- sigstore.dev
- Kaynak kod
- github.com/sigstore/cosign
Anahtar yönetmeden konteyner imajlarını imzalayıp doğrulama; bir şeffaflık günlüğünün desteklediği OIDC kimliğini (“anahtarsız”) kullanır.
Sigstore paketinin parçasıdır (CA olarak Fulcio, kurcalanmaya karşı korumalı günlük olarak Rekor). cosign sign $image çalıştırırsınız, GitHub/Google ile oturum açarsınız, Sigstore kimliğinize bağlı kısa ömürlü bir sertifika verir; imza, kayıt defterinde imajın yanında ve Rekor günlüğünde saklanır. Kubernetes admission denetleyicileri (Kyverno, OPA) dağıtımdan önce cosign doğrulamasını zorunlu kılabilir. SLSA tedarik zinciri gereksinimlerinde standarttır.