4、环境准备：安装 Cosign CLI、配置 OIDC 认证、初始化密钥对（本地与 KMS）

在实施镜像签名与验证之前，必须完成 Cosign 工具链的安装、身份认证体系的对接以及密钥材料的初始化。本章节将按照“工具安装 → 身份配置 → 密钥生成”的递进顺序，指导你搭建一个可用于生产级镜像供应链安全巡检与灰度发布准入检查的底层环境。

4.1 安装 Cosign CLI

Cosign 是 Sigstore 项目提供的命令行工具，支持容器镜像的签名、验证和存储。推荐使用官方发布的二进制文件进行安装，以确保版本一致性与安全性。

4.2 配置 OIDC 认证

Cosign 支持通过 OpenID Connect (OIDC) 与云服务商的身份平台集成，实现免密钥对管理的自动化签名。常见的 OIDC 提供方包括 GitHub Actions、GitLab CI、Google Cloud Workload Identity 等。

以下以 GitHub Actions 为例，展示 OIDC 认证的配置流程：

1. 在 GitHub 仓库中启用 OIDC： 进入仓库 Settings → Actions → General → Workflow permissions，勾选 “Allow GitHub Actions to create and approve pull requests”。
2. 配置云服务商信任关系： 在云服务商（如 GCP、AWS、Azure）中创建 Workload Identity Pool，将 GitHub 仓库的 sub 声明绑定到该池。
3. 在 Cosign 中使用 OIDC 令牌： 在 CI 流水线中，Cosign 会自动读取环境变量 ACTIONS_ID__REQUEST_ 获取 OIDC 令牌，无需手动传入密钥。

jobs:
  sign:
    runs-on: ubuntu-latest
    permissions:
      id-: write
      contents: read
    steps:
      - name: Cosign sign
        run: |
          cosign sign --oidc-issuer "https://.actions.githubusercontent.com" \
            --oidc-client-id "sigstore" \
            ${{ env.IMAGE_REF }}

4.3 初始化密钥对：本地模式

当无法使用 OIDC 或需要离线签名时，Cosign 支持生成本地密钥对（私钥 + 公钥）。私钥必须妥善保管，公钥用于后续的验证准入检查。

本地密钥对生成命令：

# 生成密钥对，默认存储在 ~/.cosign/ 目录下
cosign generate-key-pair

# 指定输出路径
cosign generate-key-pair --output-key-prefix ./my-cosign-key

执行后生成两个文件：

• cosign.key — 私钥文件，用于签名镜像，必须加密存储。
• cosign.pub — 公钥文件，用于验证签名，可公开分发。

4.4 初始化密钥对：KMS 模式

对于企业级生产环境，推荐将密钥托管在云 KMS 中，实现密钥的集中管理、轮换和审计。Cosign 原生支持 AWS KMS、GCP Cloud KMS、Azure Key Vault 等。

4.5 环境准备总览

下图展示了从工具安装到密钥初始化的完整环境准备流程，以及本地模式与 KMS 模式在密钥生命周期管理上的差异。

4.6 环境验证清单

完成上述步骤后，建议执行以下验证命令，确保环境就绪：

# 1. 验证 Cosign 版本
cosign version

# 2. 验证 OIDC 令牌可获取（仅 CI 环境）
echo $ACTIONS_ID__REQUEST_

# 3. 验证本地密钥对存在
ls -la ~/.cosign/

# 4. 验证 KMS 密钥可访问（KMS 模式）
cosign list --kms gcpkms://projects/my-project/locations/global/keyRings/cosign/cryptoKeys/signing-key