Firmar sus imágenes de contenedor con SignServer y Cosign le ayuda a proteger su cadena de suministro software .
Una imagen de contenedor firmada le permite verificar de dónde procede una imagen, para garantizar que no ha sido manipulada y que sólo se introducen en sus sistemas imágenes de confianza. Una firma de contenedor identifica y autentica quién firmó la imagen y lleva una carga útil firmada en un archivo JSON que identifica la imagen firmada.
Cómo firmar contenedores con Cosign y SignServer
Se pueden crear imágenes de contenedores firmadas con SignServer junto con Cosign. Cosign es una herramienta para la firma y verificación de contenedores del proyecto Sigstore de la Fundación Linux. Permite almacenar firmas junto a una imagen o artefacto en el registro de la Open Container Initiative (OCI). Para más información, consulte la documentación de Cosign.
Para firmar una imagen de contenedor, primero se utiliza Cosign para generar una carga útil que contenga el resumen de la imagen de contenedor. A continuación, utilice SignServer para firmar la carga útil y, por último, adjunte la carga útil firmada a la imagen de contenedor en el registro mediante Cosign.
Cosign puede utilizarse posteriormente para verificar que el compendio de la carga útil de la firma coincide con el compendio de la imagen del contenedor al que se adjunta la firma.
Por qué utilizar SignServer para la firma de contenedores
SignServer está basado en open source y permite firmar no sólo contenedores, sino también más de otros 20 formatos de firma para firma de código, firma de documentos y sellado de tiempo. Además, SignServer admite HSM de varios proveedores. Para almacenar las claves de firma de forma segura y conforme a las normas, se recomienda siempre un HSM.
Con SignServer, todos sus servicios de firma se gestionan en un único lugar y la seguridad se aplica de forma coherente y rentable. Además, la plataforma también puede integrarse con su infraestructura DevOps para la automatización de procesos.
Empezar a firmar contenedores
¿Quiere probar SignServer y Cosign para firmar una imagen de contenedor Docker?
- Descargue e instale SignServer Community Edition, consulte Descargar SignServer.
- Para firmar un contenedor, primero genere una carga útil con Cosign y, a continuación, fírmela con SignServer. Consulte el tutorial en vídeo y las instrucciones completas.
