Пропуски Senior Безопасность цепочки поставки обновлено
cosign: подписать и проверить
Вопрос
Подпишите образ и проверьте подпись (ключевой режим):
cosign __(1)__ --key cosign.key registry.example.ru/api@sha256:4f1c...
cosign __(2)__ --key cosign.pub registry.example.ru/api@sha256:4f1c...
Попробуйте сами
Заполните пропуски по номерам.
1
2
Показать ответ и разбор
Коротко
Подписывают по digest, а не по тегу: иначе можно подписать не тот образ, на который тег указывает в момент проверки. В keyless-режиме вместо ключа при проверке указывают ожидаемую личность подписанта и OIDC-издателя.
Что в пропусках
1
sign
2
verify
Разбор
Подписывают по digest, а не по тегу: иначе можно подписать не тот образ, на который тег указывает в момент проверки. В keyless-режиме вместо ключа при проверке указывают ожидаемую личность подписанта и OIDC-издателя.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.