容器镜像安全：基于 Sigstore 的签名与验证流程实现

vx jusouyun08

于 2025-08-05 11:07:47 发布

阅读量597

点赞数 18

CC 4.0 BY-SA版权

分类专栏：阿里云阿里云代理商云计算文章标签：阿里云云计算

本文链接：https://blog.csdn.net/vx_jusouyun08/article/details/149932373

阿里云同时被 3 个专栏收录

103 篇文章

订阅专栏

阿里云代理商

103 篇文章

订阅专栏

云计算

54 篇文章

订阅专栏

一、容器化时代的信任危机：从镜像到供应链

在当今的云原生技术栈中，容器镜像已成为应用交付和部署的标准载体。开发者通过 Dockerfile 构建镜像，将其推送到镜像仓库，然后由 CI/CD 流水线将其部署到生产环境。这个流程看似高效，却隐藏着巨大的安全风险。

传统的容器安全主要关注镜像扫描，即在镜像部署前，检测其中的已知漏洞（CVE）、配置错误和敏感信息。然而，镜像扫描解决的是内容安全问题，却无法解决身份信任问题。

信任危机：我们如何确保从公共镜像仓库（如 Docker Hub）拉取的镜像就是它所声称的那个？
供应链攻击：如果镜像仓库被入侵，攻击者替换了官方镜像，注入了恶意代码，我们又该如何防范？
中间人攻击：如果 CI/CD 管道中的某个环节被篡改，导致镜像在传输过程中被替换，我们如何验证其完整性？

这些问题指向了容器镜像供应链的信任危机。我们需要一种机制，能够从源头建立对镜像的信任，并贯穿整个生命周期。Sigstore 正是为解决这一核心问题而诞生的开源项目，它旨在为软件供应链提供一个开放、透明、无需信任机构（Trust Authority）的签名与验证框架。

二、Sigstore 核心理念：以“公开透明”构建信任

Sigstore 由 Linux 基金会于 2021 年发起，其目标是让所有开发者都能轻松地为他们的软件构建数字签名，并提供一个公共可审计的日志，以验证这些签名的真实性。Sigstore 的核心理念是**“公开透明”和“无密钥管理”**。

1. 公共透明日志（Transparency Log）

Sigstore 的核心组件是 Rekor，一个不可篡改的公共透明日志服务。它就像一个巨大的“公告牌”，记录了所有经过 Sigstore 签名的软件信息。任何签名记录一旦被写入 Rekor，就无法被修改或删除。

如何工作：当开发者使用 Sigstore 对镜像进行签名后，Rekor 会生成一个唯一的、时间戳证明的签名记录，并将其公开存储。
优势：任何人都可以查询 Rekor，验证签名记录是否存在、是否真实，从而为软件的完整性提供一个可审计、可追溯的第三方证明。这彻底解决了传统的签名验证依赖于私有证书颁发机构（CA）的信任链问题。

2. 无密钥管理（Keyless Signing）

传统的数字签名需要开发者生成并妥善保管私钥。私钥一旦泄露，整个信任链就会被破坏。Sigstore 引入了创新的无密钥签名机制，极大地简化了签名流程并提升了安全性。

如何工作：Sigstore 使用了短效密钥（Ephemeral Keys）技术。当开发者需要签名时，Sigstore 会通过 OIDC（OpenID Connect）协议与开发者账户（如 Google、GitHub 账户）进行身份认证。认证成功后，Sigstore 会颁发一个短效密钥对，用于对镜像进行签名。
优势：开发者无需管理私钥。私钥在签名完成后即被销毁，其签名的真实性通过 Rekor 上的签名记录和 OIDC 身份认证信息共同保证，从根本上消除了私钥泄露的风险。

三、技术实现：使用 Cosign 签名与验证 Docker 镜像

Cosign 是 Sigstore 项目中的核心 CLI 工具，它提供了对容器镜像进行签名、验证和存储签名等一整套功能。以下将详细介绍如何使用 Cosign 实现镜像的安全加固。

1. 环境准备

首先，确保你已安装 Docker 和 Cosign。Cosign 可以通过 Homebrew（macOS）或直接下载二进制文件进行安装。

# 安装 Cosign
go install github.com/sigstore/cosign/v2/cmd/cosign@latest

2. 镜像签名流程

Cosign 支持多种签名方式，其中无密钥签名是 Sigstore 的核心优势。

2.1 无密钥签名（Keyless Signing）

这是 Cosign 的推荐用法，因为它不需要任何密钥管理。

# 伪代码：使用 Cosign 无密钥签名
# IMAGE_URL 为你要签名的镜像地址，例如 my-registry.io/my-app:v1.0
export IMAGE_URL="my-registry.io/my-app:v1.0"
cosign sign $IMAGE_URL

当你执行上述命令时，Cosign 会自动完成以下步骤：

它会打开一个浏览器窗口，要求你使用 OIDC 账户（如 GitHub、Google）登录。
登录成功后，Cosign 会从 OIDC 提供商获取一个短效令牌（Token）。
Cosign 使用这个令牌向 Sigstore 的 CA（Certificate Authority）申请一个短效密钥对。
CA 会生成一个密钥对，并用你的身份信息（如邮箱）对公钥进行签名，生成一个短期证书。
Cosign 使用这个私钥对镜像的 Digest（一个唯一的哈希值）进行签名，并获得签名文件。
签名、证书和镜像 Digest 被一起提交到 Rekor 透明日志。
签名数据被推送回镜像仓库，以一个名为 IMAGE_URL.sig 的特殊镜像形式存储。

2.2 离线签名（Offline Signing）

如果你无法连接到 Rekor 服务，或者需要使用自己的密钥，Cosign 也支持传统的离线签名方式。

# 伪代码：离线签名
# 1. 生成密钥对
cosign generate-key-pair
# 2. 对镜像进行签名，并使用密码保护私钥
cosign sign --key cosign.key my-app:v1.0
# 3. 验证签名（需要公钥）
cosign verify --key cosign.pub my-app:v1.0

3. 镜像验证流程

签名完成后，在部署镜像时，我们就可以使用 Cosign 的 verify 命令来验证镜像的真实性。

# 伪代码：验证无密钥签名的镜像
# Cosign 会自动从 Rekor 获取签名和证书，并验证其完整性
cosign verify $IMAGE_URL --cert-identity "https://github.com/your-github-account" --cert-oidc-issuer "https://token.actions.githubusercontent.com"

上述命令的验证流程如下：

Cosign 从镜像仓库拉取镜像及其签名。
它会向 Rekor 透明日志查询与该镜像 Digest 相关的签名记录。
它会检查 Rekor 返回的签名、证书和时间戳，确保签名记录的真实性和不可篡改性。
它会验证证书中的身份信息（cert-identity 和 cert-oidc-issuer）是否与预期的信息匹配。
所有验证通过后，Cosign 才会认为镜像签名有效，并返回成功。

四、在 K8s 环境中实现自动验证与部署

Sigstore 的核心价值在于将其集成到自动化部署流程中。在 Kubernetes 中，我们可以利用**准入控制器（Admission Controller）**来实现对所有部署镜像的自动签名验证。

1. 准入控制器（Admission Controller）的工作原理

准入控制器是 K8s 的一个关键安全机制。它会在资源对象（如 Pod、Deployment）被创建或更新时，对其进行拦截和校验。我们可以编写一个验证准入控制器（Validating Admission Controller），在 Pod 调度前，自动验证其使用的镜像是否经过 Sigstore 签名。

2. K8s 验证流程与工具

为了简化这一过程，社区提供了多种工具，如 Kyverno 和 Cosign 的准入控制器。

Kyverno：一个功能强大的 K8s 原生策略引擎。我们可以使用 Kyverno 编写策略，在 Pod 资源创建时，强制要求其使用的镜像必须通过 Cosign 验证。

# 伪代码：Kyverno 策略示例，要求镜像必须被签名
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: check-image-signature
spec:
  validationFailureAction: Enforce
  rules:
  - name: check-cosign-signature
    match:
      resources:
        kinds:
        - Pod
    validate:
      message: "镜像未被 Cosign 签名，或签名验证失败。"
      deny:
        conditions:
          any:
          - key: "{{ images.[*].name }}"
            operator: AnyIn
            value: "{{ images }}"
          - key: "{{ images.[*].name | cosign_verify_image }}"
            operator: NotEquals
            value: "true"

上述策略会拦截所有 Pod 创建请求。对于每个 Pod 使用的镜像，它都会调用 cosign_verify_image 函数进行验证。如果验证失败，它将拒绝 Pod 的创建，从而从源头杜绝了未签名或被篡改的镜像进入集群。