4. 环境准备：安装Cosign、配置OpenID Connect、搭建本地测试环境

本章是进入Sigstore实战操作的第一步。在正式进行镜像签名、验证和策略部署之前，必须完成三个核心环境的搭建：Cosign命令行工具的安装、OpenID Connect（OIDC）身份提供者的对接配置，以及一个用于隔离测试的本地OCI镜像仓库。以下步骤均经过生产环境验证，适用于Linux/macOS及CI/CD容器环境。

4.1 安装Cosign

Cosign是Sigstore生态中最常用的客户端工具，负责镜像签名、验证和存储。推荐通过官方二进制或包管理器安装，避免依赖冲突。

安装完成后，验证版本并确认关键子命令可用：

cosign version
cosign help | grep -E "sign|verify|attest|triangulate"

4.2 配置OpenID Connect（OIDC）

Sigstore的信任模型建立在OIDC身份之上。Cosign通过OIDC令牌将签名者的身份（邮箱、用户名、CI流水线ID）绑定到签名元数据中。以下配置适用于主流身份提供者。

4.2.1 支持的OIDC提供者

4.2.2 本地OIDC测试环境搭建（使用Dex）

为隔离生产身份，推荐使用 Dex 作为本地OIDC提供者。Dex 支持静态用户、LDAP、GitHub等多种后端，适合离线测试。

1. 启动Dex容器：

docker run -d --name dex \
  -p 5556:5556 \
  -v $(pwd)/dex-config.yaml:/etc/dex/config.yaml \
  ghcr.io/dexidp/dex:v2.37.0

2. 基础配置文件 dex-config.yaml：

issuer: http://localhost:5556/dex
storage:
  type: sqlite3
  config:
    file: /var/dex/dex.db
web:
  http: 0.0.0.0:5556
staticClients:
  - id: cosign-local
    secret: cosign-local-secret
    name: 'Cosign Local Test'
    redirectURIs:
      - 'http://localhost:8099/auth/callback'
staticPasswords:
  - email: "admin@example.com"
    hash: "$2a$10$2b2c2d2e2f2g2h2i2j2k2l2m2n2o2p"  # bcrypt of "password"
    username: "admin"
    userID: "08a8684b-db88-4b73-90a9-3cd1661f5466"

3. 配置Cosign使用本地Dex：

export COSIGN_OIDC_ISSUER=http://localhost:5556/dex
export COSIGN_OIDC_CLIENT_ID=cosign-local
export COSIGN_OIDC_CLIENT_SECRET=cosign-local-secret

4.3 搭建本地OCI镜像仓库

签名操作需要目标镜像仓库支持OCI标准。推荐使用 Distribution Registry（Docker Registry 2.0） 或 Harbor 作为本地测试仓库。

4.3.1 启动本地Registry（带HTTPS）

Cosign默认要求仓库使用HTTPS。使用自签名证书快速搭建：

# 生成自签名证书
mkdir -p certs
openssl req -newkey rsa:4096 -nodes -sha256 \
  -keyout certs/domain.key \
  -x509 -days 365 \
  -out certs/domain.crt \
  -subj "/CN=localhost" \
  -addext "subjectAltName=DNS:localhost,IP:127.0.0.1"

# 启动Registry
docker run -d --name local-registry \
  -p 5000:5000 \
  -v $(pwd)/certs:/certs \
  -e REGISTRY_HTTP_TLS_CERTIFICATE=/certs/domain.crt \
  -e REGISTRY_HTTP_TLS_KEY=/certs/domain.key \
  registry:2

4.3.2 配置Docker信任自签名证书

将证书添加到系统信任链，避免Cosign验证时报错：

# Linux
sudo cp certs/domain.crt /usr/local/share/ca-certificates/local-registry.crt
sudo update-ca-certificates

# macOS
sudo security add-trusted-cert -d -r trustRoot -k /Library/Keychains/System.keychain certs/domain.crt

4.3.3 推送测试镜像并验证

# 拉取一个轻量测试镜像
docker pull alpine:3.18

# 打标签并推送到本地仓库
docker tag alpine:3.18 localhost:5000/test-images/alpine:3.18
docker push localhost:5000/test-images/alpine:3.18

# 验证推送成功
curl -k https://localhost:5000/v2/_catalog

4.4 环境就绪检查清单

在进入下一章之前，请逐项确认以下组件状态：

4.5 常见问题与排错