Sigstore とは？

そうだよ。配布するソフトウェアやコンテナイメージに署名して、「このファイルは本当にこの人が作って、途中で改ざんされていない」と証明できる仕組みなんだ。

従来の署名は秘密鍵の管理が大変で、鍵が漏れたら全署名が信用できなくなるリスクがあったんだ。SigstoreはOIDCトークンで一時的な証明書を使う「keyless署名」でその問題を解決したよ。

Cosignが実際に署名・検証するCLIツール、FulcioがOIDCトークンをもとに短命証明書を発行する認証局、RekorがすべてのCosign署名を記録する改ざんできない透明性ログだよ。

全署名が公開ログに記録されるから、誰でも「この署名がいつ・どのIDで行われたか」を検証できるんだ。不正な署名があればすぐ発見できるよ。

GitHubのOIDCトークンをそのまま使えるから意外とシンプルだよ。`cosign sign` コマンドにイメージ名を渡すだけで署名できて、秘密鍵の管理は不要なんだ。近年はKubernetesのリリースでも採用されてるよ。