Перевірка релізу

Кожен образ релізу підписаний за допомогою cosign ключем, який є у супровідника, і постачається з SBOM (списком усього, що всередині) та файлом повідомлень сторонніх залежностей. Образи релізу мають теги X.Y.Z, X.Y і X, і всі вказують на один перевірений дайджест; тега latest ніколи не буває.

Щоб перевірити образ перед запуском, встановіть cosign і перевірте його за cosign.pub з репозиторію:

cosign verify --key cosign.pub <image>:<version>

Підписи записані в публічний журнал прозорості, а нотатки кожного релізу містять точну команду. Правильний підпис виводить перевірені дані і завершується кодом 0; будь-що інше означає, що запускати не можна. Закріпіть дайджест, який він вивів, у KEPT_IMAGE (<image>@sha256:…), щоб запустити саме цей образ.

Helm-чарт публікується як OCI-артефакт поруч з образом і підписується так само. Запущений Kept повідомляє свою версію, коміт, з якого його зібрано, та репозиторій вихідного коду за адресою /version, а також віддає повідомлення сторонніх залежностей образу за адресою /notices.txt (посилання з рядка версії в застосунку).