Google 发布验证容器的开源工具
Google 近日发布了一个新的开源工具,名为cosign,利用这个工具可以使管理签名和验证容器镜像的过程更加容易。 Google 与 Linux 基金会的 sigstore 项目合作开发了 cosign 工具,Google 表示 cosign 的目的是「让签名成为不易被关注的基础结构」。 Google 表示,其所有的 Distroless 镜像都已使用该开源工具进行了签名,所有 Distroless 的用户(仅包含所需应用程序及其依赖项的镜像)都可以轻松检查其是否正在使用所需的基础镜像。 Google 还表示,它已将 cosign 整合到 Distroless CI 系统中,从而将 Distroless 的签名转化为负责构建镜像的 Cloud Build 工作中的另一个步骤。 Google 解释道:"这个额外的步骤使用 cosign 容器镜像和存储在 GCP KMS 中的密钥对来签署每个 Distroless 镜像。有了这个额外的签名步骤,用户现在可以验证他们正在运行的 Distroless 镜像是否是在正确的 CI 环境中构建的。" Cosign 可以作为 CLI 工具或镜像运行,...


