第12章 sigstore を使用してセキュアな署名を管理する

クラスター管理者やアプリケーション開発者は、sigstore プロジェクトを利用してサプライチェーンのセキュリティーを向上させることができます。開発者は自分が構築したものに署名することができ、管理者はその署名を検証し、大規模なワークフローを監視することができます。

sigstore プロジェクトを使用すると、署名をビルドイメージと同じレジストリーに保存できます。2 台目のサーバーは必要ありません。署名のアイデンティティー部分は、Fulcio 認証局を通じて OpenID Connect (OIDC) アイデンティティーに関連付けられます。これにより、キーなしの署名が可能になり、署名プロセスが簡素化されます。sigstore には、改ざん防止機能のある変更不能な台帳に署名メタデータを記録する Rekor も含まれています。

ClusterImagePolicy および ImagePolicy カスタムリソース (CR) オブジェクトを使用して、クラスターまたは namespace スコープで sigstore サポートを有効化および設定できます。これらのオブジェクトは、検証するイメージとリポジトリー、および署名の検証方法を指定します。