Google 发表验证容器的开源器材

Google 与 Linux 基金会的 sigstore 项目相助开拓了 cosign 器材，Google 暗示 cosign 的目标是「让署名成为不易被存眷的基本布局」。

Google 暗示，其全部的 Distroless 镜像都已行使该开源器材举办了署名，全部 Distroless 的用户(仅包括所需应用措施及其依靠项的镜像)都可以轻松搜查其是否正在行使所需的基本镜像。

Google 还暗示，它已将 cosign 整合到 Distroless CI 体系中，从而将 Distroless 的署名转化为认真构建镜像的 Cloud Build 事变中的另一个步调。

Google 表明道："这个特另外步调行使 cosign 容器镜像和存储在 GCP KMS 中的密钥对来签定每个 Distroless 镜像。有了这个特另外署名步调，用户此刻可以验证他们正在运行的 Distroless 镜像是否是在正确的 CI 情形中构建的。"

Cosign 可以作为 CLI 器材或镜像运行，支持本身的公钥基本办法(PKI，Public Key Infrastructure)、硬件和 KMS 署名、Google 的免费 OIDC PKI(Fulcio)，以及内置的二进制透明度和时刻戳处事(Rekor)。

sigstore 维护者所孝顺的 Kubernetes 已经在用新器材验证镜像，Google 透露 Kubernetes SIG Release 的方针是为该项目建设 "一个可耗损、自省和安详的供给链"。Google 打算在将来几个月将更多的 sigstore 技能添加到 Distroless 中。

（编辑：湖南网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!