第 12 章 使用 sigstore 管理安全签名

sigstore 项目使开发人员能够签署其构建，并管理员可大规模验证签名和监控工作流。使用 sigstore 项目，签名可以存储在与构建镜像相同的 registry 中。不需要第二个服务器。签名的身份部分通过 Fulcio 证书颁发机构与 OpenID Connect (OIDC) 身份关联，这通过允许无密钥签名来简化签名过程。另外，sigstore 包括 Rekor，它将签名元数据记录到不可变、篡改者中。

您可以使用 ClusterImagePolicy 和 ImagePolicy 自定义资源(CR)对象在集群或命名空间范围内启用和配置 sigstore 支持。这些对象指定要验证的镜像和存储库，以及如何验证签名。