配置 GitHub Artifact Attestations 以实现安全的云原生交付
内容提要
GitHub推出Artifact Attestations功能，允许用户在GitHub Actions中创建构建的可信性和完整性保证，确保供应链安全和满足监管要求。用户可以为各种类型的构件创建证明，如可执行文件、软件包、容器注册表或压缩文件。文章提供了配置GitHub Actions工作流程以进行Artifact Attestations和以云原生方式验证构建的步骤。还讨论了如何使用GitHub的准入控制器在Kubernetes集群中验证软件包和镜像。
延伸解读
供应链安全与合规性
GitHub Artifact Attestations 提供了构建来源和完整性的保证，确保在 GitHub Actions 中构建的构件可以追溯到源代码。这有助于满足日益增长的监管和合规要求，该流程符合 SLSA v1.0 Build Level 2 要求，使团队能够基于可信信息做出构建决策。
配置与验证的简便性
在 GitHub Actions 工作流中，只需在构建构件后添加 attest-build-provenance 动作，并指定构件路径即可生成证明。验证时，使用 GitHub CLI 命令 gh attestation verify 即可快速完成。整个过程配置简单，验证便捷，易于集成到现有 CI/CD 流程中。
Kubernetes 准入控制器的应用
GitHub 提供的 Kubernetes 准入控制器可以验证传入的部署，并拒绝没有可验证证明的镜像。它由两个 Helm chart 组成：一个安装 Sigstore 策略控制器执行验证，另一个加载 GitHub 的信任根和默认策略。通过注解或标签在命名空间启用后，可确保集群中运行的内容与构建的内容一致。
Q&A
什么是GitHub的Artifact Attestations功能？
GitHub的Artifact Attestations功能允许用户创建构件的可信性和完整性保证，以确保供应链安全和满足监管要求。
如何在GitHub Actions中配置Artifact Attestations？
在GitHub Actions工作流程中，可以通过添加attest-build-provenance动作来配置Artifact Attestations，确保构件的来源得到证明。
如何验证构件的证明？
可以通过GitHub CLI命令运行 'gh attestation verify PATH/TO/ARTIFACT -o myorganization' 来验证构件的证明。
GitHub如何帮助验证Kubernetes集群中的软件包和镜像？
GitHub提供Kubernetes准入控制器，用于验证软件包和镜像的安全性，确保只有具有可验证证明的镜像才能被部署。
使用Artifact Attestations有什么好处？
使用Artifact Attestations可以增强供应链的安全性，确保构件的来源可追溯，并满足监管合规要求。
如何安装Sigstore政策控制器以执行验证步骤？
可以通过运行 'helm install policy-controller --atomic --create-namespace --namespace artifact-attestations oci://ghcr.io/github/artifact-attestations-helm-charts/policy-controller --version v0.10.0-github5' 来安装Sigstore政策控制器。
