第12章 sigstore を使用してセキュアな署名を管理する

クラスター管理者またはアプリケーション開発者は、sigstore プロジェクトを使用してサプライチェーンのセキュリティーを強化できます。開発者は自身が作成したビルド成果物に署名でき、管理者側では大規模な運用環境においてもそれらの署名を検証し、ワークフローを監視できます。

sigstore プロジェクトを使用すると、署名をビルドイメージと同じレジストリーに保存できます。2 台目のサーバーは必要ありません。署名のアイデンティティー部分は、Fulcio 認証局を通じて OpenID Connect (OIDC) アイデンティティーに関連付けられます。これにより、キーなしの署名が可能になり、署名プロセスが簡素化されます。sigstore には、改ざん防止機能のある変更不能な台帳に署名メタデータを記録する Rekor も含まれています。

ClusterImagePolicy および ImagePolicy カスタムリソース (CR) オブジェクトを使用して、クラスターまたは namespace スコープで sigstore サポートを有効化および設定できます。これらのオブジェクトは、検証するイメージとリポジトリー、および署名の検証方法を指定します。