Google 近日發布了一個新的開源工具，名為 cosign，利用這個工具可以使管理簽名和驗證容器鏡像的過程更加容易。

Google 與 Linux 基金會的 sigstore 項目合作開發了 cosign 工具，Google 表示 cosign 的目的是「讓簽名成為不易被關注的基礎結構」。

Google 表示，其所有的 Distroless 鏡像都已使用該開源工具進行了簽名，所有 Distroless 的用戶(僅包含所需應用程序及其依賴項的鏡像)都可以輕松檢查其是否正在使用所需的基礎鏡像。

Google 還表示，它已將 cosign 整合到 Distroless CI 系統中，從而將 Distroless 的簽名轉化為負責構建鏡像的 Cloud Build 工作中的另一個步驟。

Google 解釋道："這個額外的步驟使用 cosign 容器鏡像和存儲在 GCP KMS 中的密鑰對來簽署每個 Distroless 鏡像。有了這個額外的簽名步驟，用戶現在可以驗證他們正在運行的 Distroless 鏡像是否是在正確的 CI 環境中構建的。"

Cosign 可以作為 CLI 工具或鏡像運行，支持自己的公鑰基礎設施(PKI，Public Key Infrastructure)、硬件和 KMS 簽名、Google 的免費 OIDC PKI(Fulcio)，以及內置的二進制透明度和時間戳服務(Rekor)。

sigstore 維護者所貢獻的 Kubernetes 已經在用新工具驗證鏡像，Google 透露 Kubernetes SIG Release 的目標是為該項目創建 "一個可消耗、自省和安全的供應鏈"。Google 計劃在未來幾個月將更多的 sigstore 技術添加到 Distroless 中。

本文轉自OSCHINA

本文標題：Google 發布驗證容器的開源工具

本文地址：https://www.oschina.net/news/141135/google-releases-open-source-tool-cosign