Attestkeep
Langue : Français
S'inscrire
Supply chain

Lire ce qui a été joint à une image lors de son build.

Créer un compteDéclarations des éditeurs (VEX)
  1. Une image arriveSon tag est résolu en digest.
  2. Attestationsin-toto, dans la limite d'âge fixée par la policy.
  3. SBOMEnregistré pour chaque image en service.
  4. Provenance de buildSLSA, d'un builder de confiance, au niveau nommé par la policy.
  5. VEXAppliqué uniquement s'il est signé par un signataire nommé.
  6. DécisionAdmise ou refusée, avec la raison.
Ce qu'elle fait

Attestations et SBOM

Attestkeep lit les attestations in-toto attachées à une image : il vérifie qu'il y en a une et qu'elle ne dépasse pas l'âge maximal fixé par votre policy, qu'un SBOM est enregistré pour chaque image en service, et que la provenance de build SLSA vient d'un builder de confiance, au niveau exigé par la policy.

Les déclarations OpenVEX ne sont appliquées que si elles arrivent sous forme d'attestation signée sur l'image, par un signataire que nomme la policy. Le reste est enregistré comme vu, puis ignoré.

Fonctionnement

Étape par étape.

  1. Une image arrive

    Son tag est résolu en digest.

  2. Attestations lues

    in-toto, contrôlées par rapport à l'âge maximal.

  3. Le SBOM est enregistré

    Par image en service.

  4. Provenance vérifiée

    Niveau SLSA d'un builder de confiance, si la policy le demande.

  5. VEX appliqué

    Venant d'un signataire nommé par la policy.

Ce qui est consigné

La section supply chain compte les attestations, les SBOM et la provenance vérifiée par image ; les déclarations des éditeurs ont leur propre section.

Déclarations des éditeurs (VEX)Policies

42 exigences dans 11 frameworks citent ce que cette fonction enregistre.

Installez-le vous-même.

Créez un compte, confirmez votre e-mail avec le code envoyé, prenez la clé Community gratuite sur la page Licences et installez avec Helm.

Créer un compte