Attestkeep
Sprache: Deutsch
Loslegen
Supply Chain

Lesen, was beim Build an ein Image angehängt wurde.

Konto anlegenHerstellererklärungen (VEX)
  1. Ein Image kommt anSein Tag wird zu einem Digest aufgelöst.
  2. Attestationsin-toto, innerhalb des Höchstalters der Policy.
  3. SBOMFür jedes Image im Einsatz festgehalten.
  4. Build-ProvenanceSLSA, von einem vertrauenswürdigen Builder, auf der Stufe der Policy.
  5. VEXNur angewendet, wenn von einem genannten Signierer signiert.
  6. EntscheidungZugelassen oder abgelehnt, mit Grund.
Was sie tut

Attestations und SBOM

Attestkeep liest die in-toto-Attestations eines Images und prüft: ob eine vorhanden ist und das Höchstalter Ihrer Policy einhält, ob für jedes Image im Einsatz ein SBOM erfasst ist und ob SLSA-Build-Provenance von einem vertrauenswürdigen Builder auf der Stufe vorliegt, die die Policy nennt.

OpenVEX-Aussagen werden nur angewendet, wenn sie als signierte Attestation am Image hängen und von einem Signierer stammen, den die Policy nennt. Alles andere wird als gesehen vermerkt und ignoriert.

Funktionsweise

Die Schritte.

  1. Ein Image kommt an

    Sein Tag wird zu einem Digest aufgelöst.

  2. Attestations werden gelesen

    in-toto, gegen das Höchstalter geprüft.

  3. SBOM wird festgehalten

    Je Image im Einsatz.

  4. Provenance wird geprüft

    SLSA-Level vertrauenswürdiger Builder, wenn die Policy es verlangt.

  5. VEX wird angewandt

    Nur von Signierern, die die Policy nennt.

Was sie festhält

Der Supply-Chain-Abschnitt zählt je Image Attestations, SBOMs und geprüfte Provenance; Herstellererklärungen haben einen eigenen Abschnitt.

Herstellererklärungen (VEX)Policies

42 Anforderungen in 11 Frameworks verweisen auf das, was diese Funktion aufzeichnet.

Selbst installieren.

Konto anlegen, die E-Mail mit dem zugesandten Code bestätigen, den kostenlosen Community-Schlüssel auf der Seite Licences holen und mit Helm installieren.

Konto anlegen