Подписать образ по дайджесту cosign
Подписывайте по неизменяемому дайджесту, не по тегу; примечание: подпись по тегу небезопасна
cosign sign --key cosign.key <host>/<name>@sha256:<id>
more cosign
all 5 commands →
Беcключевая подпись через OIDC
COSIGN_EXPERIMENTAL=1 cosign sign <host>/<name>@sha256:<id>
Проверить беcключевую подпись
cosign verify --certificate-identity=<id> --certificate-oidc-issuer=<host> <host>/<name> | jq .
Аттестация SBOM CycloneDX
cosign attest --key cosign.key --predicate sbom.json --type cyclonedx <host>/<name>@sha256:<id>
Проверить аттестацию по типу
cosign verify-attestation --key cosign.pub --type cyclonedx <host>/<name> | jq -r '.payload' | base64 -d | jq .