Выбор ответа Middle Безопасность цепочки поставки обновлено
Подпись без проверки
Вопрос
CI подписывает все образы cosign. Что ещё нужно, чтобы подпись реально защищала прод?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Проверять подпись при деплое admission-политикой в кластере. Подпись без проверки ничего не останавливает: подменённый образ без подписи запустится так же.
Варианты ответа
- Ничего: подписанный образ уже нельзя подменить в реестре
- Проверять подпись при деплое admission-политикой в кластереправильный ответ
- Хранить подписи и публичные ключи в git рядом с манифестами
- Подписывать образ дважды: ключом CI и ключом команды
Разбор
Подпись без проверки ничего не останавливает: подменённый образ без подписи запустится так же. Проверку делает admission-контроллер (Kyverno verifyImages, Sigstore policy-controller) или шаг деплоя. Хранение в git и двойная подпись проблему не решают.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.