Image'ı kimin imzaladığını söyler. İçeriğini değil.

policy-controller nedir

Sigstore projesinin admission controller'ı. Bir ClusterImagePolicy, image'ın sağlaması gereken authority'leri (bir açık anahtar ya da issuer'ıyla birlikte keyless bir kimlik) ve taşıması gereken attestation'ları belirler. Eşleşen her policy'de en az bir authority geçerse pod kabul edilir. Çalışanın kabul edilenle aynı olması için tag'leri digest'e çözer; zorlama namespace bazında açılır ve bir attestation'ın imzası doğrulandıktan sonra içeriğine CUE ya da Rego policy uygulanabilir.

Apache-2.0 lisanslı, ücretsiz ve küçük bir projedir; bakımını cosign formatlarını tanımlayan ekip yapar. Tedarik zinciri yaklaşımı "çalıştırdığımız her şeyi kendi build sistemimiz imzalar" olan bir cluster için bu tam bir cevaptır ve onu kullanmalısınız.

Nerede örtüşürler

Tam olarak admission'daki imza ve attestation doğrulamasında. Attestkeep cosign imzalarını bir anahtarla ya da keyless olarak kimlik ve issuer'a göre doğrular, in-toto attestation'larını kontrol eder ve bunların en fazla ne kadar eski olabileceğini şart koyabilir. Policy öyle diyorsa doğrulanmış bir SBOM ya da provenance beyanı ister ve image'ları digest'e sabitler. Aradığınız bu listeyse policy-controller bunu zaten yapıyor ve ücretsiz.

Boşluk nerede

İmza, birinin bu byte'lara kefil olduğunu söyler; byte'ların güvenli olduğunu söylemez. Güvendiğiniz build sisteminin bu sabah imzaladığı bir image, dün gece yayımlanmış kritik bir zafiyeti taşıyabilir. Cluster'daki her policy onu kabul eder ve haklıdır da, çünkü imza geçerlidir. Doğrulama ile zafiyet ayrı sorulardır ve bunlardan yalnızca biri soruluyor.

policy-controller'ın tarayıcısı yoktur, zafiyet veritabanı tutmaz, geçmiş saklamaz: önündeki isteği değerlendirir ve geçer. Attestkeep iki soruyu tek kararda sorar: imza ve aynı digest için Trivy'nin bulguları. Bulgulardan saldırı altında olanları CISA'nın known-exploited kataloğu işaretler. Attestkeep sonra cevabı saklar. Veritabanı altı saatte bir yenilenir ve her image her gün yeniden taranır; admission'da temiz olan bir image'ın temiz kaldığı varsayılmaz.

Kayıt da istek bittikten sonra kalır. Kararlar sizin yönettiğiniz bir PostgreSQL'e, onları üreten policy'nin hash'iyle birlikte yazılır; dönem raporunu mümkün kılan da budur: on üç mevzuat ve kontrol seti, 293 madde. Her madde kaynağıyla alıntılanır ve karşılanıyor, kısmen, eksik ya da kapsam dışı olarak işaretlenir. Rapor cluster'ınızın içinde imzalanır ve denetçiniz onu bize sormadan doğrulayabilir.

Hangisi size gerekli

Yalnızca policy-controller şu durumda doğru seçimdir: çalıştırdığınız bütün image'ları kendiniz build edip imzalıyorsanız, zorlamanız gereken şey içerik değil provenance ise ve kurulumunuzun Sigstore projesine olabildiğince yakın kalmasını istiyorsanız.

Attestkeep ise tehdit modelinizde "imzalı" ile "güvenli" aynı şey değilse doğru seçimdir: başka yerden gelen base image'lar, tedarikçi image'ları, sizin build etmediğiniz her şey. Ya da imza kontrolünün bir davranış değil, kanıt olması gerekiyorsa. İkisi de validating webhook olarak çalışır ve aynı cluster'da durabilir; yine de bir image kuralını ikisinden yalnızca birinde, bir kez yazmak daha iyidir. Community Edition süresiz ücretsizdir; karar vermeden önce bizimkini sizinkinin yanında deneyebilirsiniz.