4. 环境准备：安装 Cosign CLI、配置 OIDC 认证与本地密钥对

在实施镜像签名与验证之前，必须完成 Cosign 命令行工具的安装，并根据巡检场景选择合适的认证方式。本章将指导你完成 Cosign CLI 的安装、OIDC 认证配置以及本地密钥对的生成，为后续的签名与验证操作奠定基础。

4.1 Cosign CLI 安装

Cosign 支持多种操作系统和架构，推荐使用官方发布的二进制文件进行安装。以下为常见平台的安装方式：

4.2 OIDC 认证配置

OIDC（OpenID Connect）认证是 Sigstore 生态的核心身份验证机制，允许 Cosign 通过短期令牌（）进行无密钥签名。在容量巡检的自动化流水线中，OIDC 认证可以避免长期密钥的存储风险。

4.2.1 OIDC 认证流程

Cosign 支持多种 OIDC 身份提供商（IdP），包括 GitHub、GitLab、Google 等。以下为通用配置步骤：

1. 设置环境变量：配置 OIDC 发行者 URL 和客户端 ID。
2. 获取令牌：通过 cosign login 或环境变量注入令牌。
3. 执行签名：Cosign 自动使用令牌向 Fulcio 证书机构请求短期证书。

# 设置 OIDC 环境变量
export COSIGN_EXPERIMENTAL=1
export COSIGN_OIDC_ISSUER=https://.actions.githubusercontent.com
export COSIGN_OIDC_CLIENT_ID=sigstore

# 使用 OIDC 令牌直接签名（无需本地密钥）
cosign sign --oidc-issuer $COSIGN_OIDC_ISSUER \
            --oidc-client-id $COSIGN_OIDC_CLIENT_ID \
            registry.example.com/my-image:tag

4.2.2 支持的 OIDC 提供商对比

4.3 本地密钥对生成

当 OIDC 认证不可用或需要长期密钥管理时，使用 Cosign 生成本地密钥对是最直接的方式。密钥对包括私钥（用于签名）和公钥（用于验证）。

4.3.1 生成密钥对

使用 cosign generate-key-pair 命令创建密钥对：

# 生成密钥对（默认使用 ECDSA P-256 算法）
cosign generate-key-pair

# 指定输出路径和算法
cosign generate-key-pair --output-key-prefix my-cosign-key \
                         --key-algorithm ecdsa-p256

# 查看生成的文件
ls -la
# 输出示例：
# -rw-------  1 user user  227 Mar 15 10:00 my-cosign-key.key
# -rw-r--r--  1 user user  178 Mar 15 10:00 my-cosign-key.pub

4.3.2 密钥文件说明

4.3.3 密钥加密与密码保护

Cosign 支持使用密码对私钥进行加密保护：

# 生成带密码保护的密钥对
cosign generate-key-pair --password

# 系统会提示输入密码（至少 8 个字符）
# 生成的私钥将使用 AES-256-GCM 加密

# 使用加密私钥签名时需要提供密码
cosign sign --key cosign.key \
            --password \
            registry.example.com/my-image:tag

4.4 环境验证

完成安装和配置后，执行以下命令验证环境是否就绪：

# 1. 验证 Cosign 版本
cosign version

# 2. 验证 OIDC 配置（如果使用）
echo $COSIGN_EXPERIMENTAL
echo $COSIGN_OIDC_ISSUER

# 3. 验证密钥对存在
ls -la cosign.key cosign.pub

# 4. 测试密钥对可用性（使用公钥验证自身）
cosign verify --key cosign.pub \
              --check-claims=false \
              registry.example.com/test-image:latest

4.5 常见问题与避坑指南