使用 sigstore 管理安全签名

sigstore项目使开发人员能够签署他们构建的内容，并使管理员能够大规模验证签名和监控工作流。使用sigstore项目，签名可以存储在与构建镜像相同的注册表中。不需要第二个服务器。签名的身份部分通过Fulcio证书颁发机构绑定到OpenID Connect (OIDC)身份，这通过允许无密钥签名简化了签名过程。此外，sigstore包含Rekor，它将签名元数据记录到不可变的、防篡改的分类账中。