Image Signing Workflow

Description

Le workflow de signature d'images s'articule en 4 étapes CI/CD : build de l'image avec digest SHA256 immuable, scan de vulnérabilités (Trivy/Grype), signature via Cosign (keyless ou key-based), push avec attestations SBOM attachées, et enforcement dans Kubernetes via Kyverno ClusterImagePolicy.

Mise en œuvre

Pipeline GitHub Actions : docker build → trivy image --exit-code 1 → cosign sign → cosign attach sbom. Kyverno policy : bloquer tout pod déployant une image sans signature valide de la clé CI de l'organisation.

Points clés

• Référencer les images par digest SHA256 (pas par tag mutable) en production
• Signature multi-étape : signer séparément l'image, le SBOM et les résultats de scan
• Rekor transparency log : audit public et immuable des signatures émises