第 5 章 测试和验证容器镜像

流程

1. 创建 SLSA provenance predicate.json 文件，例如：

   echo '{
    "builder": {
      "id": "https://localhost/dummy-id"
    },
    "buildType": "https://localhost/dummy-type",
    "invocation": {},
    "buildConfig": {},
    "metadata": {
      "buildStartedOn": "2023-09-25T16:26:44Z",
      "buildFinishedOn": "2023-09-25T16:28:59Z",
      "completeness": {
        "parameters": false,
        "environment": false,
        "materials": false
      },
      "reproducible": false
    },
    "materials": []
   }
   ' > predicate.json

2. 签名并测试您刚才创建的 predicate.json 文件，例如：

   cosign attest -y --fulcio-url=$FULCIO_URL \
      --rekor-url=$REKOR_URL \
      --oidc-issuer=$OIDC_ISSUER_URL \
      --predicate predicate.json \
      --type slsaprovenance $IMAGE

   Keycloak 打开，以便在对容器镜像进行签名时基于您的登录自动验证。

3. 使用企业合同验证签名和测试，例如：

   ec validate image --image $IMAGE \
      --certificate-identity-regexp '.*' \
      --certificate-oidc-issuer-regexp '.*' \
      --output yaml --show-successes