sigstore
ソフトウェアの成果物、コンテナイメージ、リリースの署名・検証・来歴記録のための、ソフトウェアサプライチェーンセキュリティツールキットです。
- 活発にメンテナンスされている
- 財団の支援あり
- 寛容なライセンス
概要
sigstore(最も一般的には cosign ツールを通じて使われます)は、開発者がコンテナイメージ、バイナリ、リリースファイルといったソフトウェア成果物に署名できるようにし、他の誰もがその署名が想定された発行元から来たものであることを検証できるようにします。チームが管理・保護しなければならない長期的な鍵の代わりに、短命な証明書を使用します。署名イベントは、公開された改ざん耐性のある透明性ログに記録されます。
sigstore は、自分たちがビルド・公開・利用するソフトウェアの真正性と完全性を検証したいチームに向いています。これは(カタログにもある) Trivy の脆弱性スキャンや Falco のランタイム検知とは異なるサプライチェーンセキュリティの課題で、来歴と署名に特化しています。
このカタログに掲載されている理由
カタログ評価: ★★★★☆ (4/5)
The standard toolchain for software artifact signing and supply-chain security.
- 成熟
- 財団によるガバナンス
- カテゴリ
- DevOps
- 言語
- Go
- ライセンス
- Apache-2.0
関連プロジェクト
Cilium
Apache-2.0従来のネットワーキングコンポーネントを、カーネルレベルのパフォーマンスで置き換える、eBPF ベースの Kubernetes ネットワーキング・セキュリティ・オブザーバビリティプラットフォームです。
活発にメンテナンスされている
- DevOps
etcd
Apache-2.0Kubernetes 自身がすべてのクラスタ状態を保存するために使用している、分散型で一貫性のあるキーバリューストアであり、他の分散システムにとっても信頼できる構成要素です。
活発にメンテナンスされている
- DevOps
Open Policy Agent (OPA)
Apache-2.0マイクロサービス、API、Kubernetes、CI パイプラインにまたがって、認可・コンプライアンス・設定ルールをコードとして統一的に適用する、CNCF を卒業した汎用ポリシーエンジンです。
活発にメンテナンスされている
- DevOps
cert-manager
Apache-2.0TLS 証明書の発行・更新・管理を自動化し、手動での証明書処理を不要にする、Kubernetes アプリケーション向けツールです。
活発にメンテナンスされている
- DevOps
誤りを見つけましたか? GitHub で修正を提案する