etcd 镜像基础：官方来源、标签规范与签名验证

在复核镜像供应链策略误报之前，必须准确理解 etcd 官方镜像的发布体系。镜像来源、标签语义和签名验证机制是判断镜像是否“可信”的三大基石。策略引擎的误报往往源于对这三者的理解偏差或规则配置过于宽泛。

2.1 官方镜像来源与分发渠道

etcd 官方镜像由 etcd 社区维护团队 构建并推送至以下受信任的镜像仓库：

2.2 镜像标签规范与语义

etcd 镜像标签遵循 语义化版本 2.0，并附加了构建元数据。策略引擎必须理解标签的“可变性”与“不可变性”差异。

# 查看镜像标签对应的实际摘要（不可变标识）
docker pull quay.io/coreos/etcd:v3.5.12
docker inspect --format='{{index .RepoDigests 0}}' quay.io/coreos/etcd:v3.5.12
# 输出示例：quay.io/coreos/etcd@sha256:abc123def456...

2.3 镜像签名与验证机制

etcd 官方镜像使用 Sigstore Cosign 进行签名，签名数据存储在 OCI 仓库的附件中。策略引擎应验证签名而非仅检查标签。

2.4 签名验证实操命令

策略复核人员应掌握以下验证命令，用于手动确认镜像是否被篡改：

# 1. 获取 etcd 官方公钥（从 etcd 发布页面获取）
curl -sL https://raw.githubusercontent.com/etcd-io/etcd/main/.cosign/cosign.pub > etcd-cosign.pub

# 2. 验证镜像签名
cosign verify \
  --key etcd-cosign.pub \
  quay.io/coreos/etcd:v3.5.12

# 3. 验证通过后输出包含以下信息：
# Verification for quay.io/coreos/etcd:v3.5.12 --
# The following checks were performed on each of these signatures:
#   - The cosign claims were validated
#   - The signatures were verified against the specified public key

2.5 镜像供应链策略基线建议

基于以上基础，构建 etcd 镜像供应链策略时应包含以下三层校验：

1. 来源层： 只允许从 quay.io/coreos/etcd、gcr.io/etcd-development/etcd、registry.k8s.io/etcd 拉取 etcd 镜像。
2. 标签层： 强制使用 vMAJOR.MINOR.PATCH 完整版本标签，禁止 latest 或 vMAJOR.MINOR 浮动标签。
3. 签名层： 必须通过 Cosign 签名验证，且公钥来源固定为 etcd 官方发布页。