docker/image-signer-verifier

镜像概述

该Docker镜像专注于在镜像索引中创建和验证in-toto证明的签名，旨在强化容器镜像供应链安全，保障镜像索引中in-toto证明的真实性与完整性。

核心功能与特性

• 签名创建：支持为镜像索引中的in-toto证明生成安全签名
• 签名验证：提供对镜像索引中in-toto证明签名的有效性验证能力
• 版本管理：明确要求使用指定版本（而非最新SHA值），确保稳定性与可追溯性

使用场景与适用范围

适用于容器镜像供应链安全管控场景，特别是需要确保镜像索引中in-toto证明未被篡改的场景，如企业容器仓库管理、开源项目镜像分发等，帮助维护者与用户验证镜像供应链可信度。

使用方法与配置说明

版本使用规范

重要：使用本镜像时必须指定合适的版本（如标签形式的版本号），禁止使用最新SHA值。此要求旨在避免因SHA变动导致的不可预期问题，确保版本稳定性。

基础操作示例

指定版本运行容器

bash
docker run --rm [镜像名称]:[具体版本号] [操作命令]

创建in-toto证明签名

bash
docker run --rm [镜像名称]:vX.Y.Z create-signature \
  --image-index /path/to/image/index \
  --attestation /path/to/in-toto/attestation

验证in-toto证明签名

bash
docker run --rm [镜像名称]:vX.Y.Z verify-signature \
  --image-index /path/to/image/index \
  --attestation /path/to/in-toto/attestation

注意事项

• 通过官方渠道获取版本列表，优先选择经过安全验证的稳定版本
• 严禁使用latest标签或直接引用SHA值，降低版本变更风险
• 操作前确保镜像索引与in-toto证明文件路径正确无误