3. 环境准备：安装 Cosign CLI、配置 OIDC 认证、初始化密钥对（本地与云端）

在进入镜像签名与验证的实战操作之前，必须完成本地与云端环境的初始化。本章将引导你完成 Cosign CLI 的安装、基于 OIDC 的无密钥认证配置，以及本地与云端密钥对的生成与绑定。这三步是后续所有签名、验证与回滚操作的基础设施。

3.1 安装 Cosign CLI

Cosign 是 Sigstore 项目下的核心工具，支持对容器镜像进行签名、验证和存储签名信息。推荐使用最新稳定版本。

# 验证安装成功示例输出
cosign version
  ______   ______        ______   ______   ______   ______
 / _____| / _____|      / _____| / _____| / _____| / _____|
| /     | | /           | |     | |     | |     | | /
| |     | | |           | |     | |     | |     | | |
| |_____| | |_____      | |_____| |_____| |_____| | |_____
 \_______| \_______|    \_______| \_______| \_______| \_______|
cosign: 2.2.3

3.2 配置 OIDC 认证（无密钥模式）

Sigstore 的 OIDC（OpenID Connect）认证允许你无需管理长期密钥即可完成签名。Cosign 会自动从环境中检测可用的 OIDC 令牌（如 GitHub Actions、Google Cloud、Microsoft Azure 等）。

以下为常见云平台的 OIDC 配置要点：

# 本地开发环境测试 OIDC 认证（会弹出浏览器窗口）
cosign login

# 在 GitHub Actions 中自动使用 OIDC（无需手动登录）
# 只需确保 workflow 具有 id-: write 权限

3.3 初始化密钥对（本地与云端）

虽然 OIDC 无密钥模式是推荐方式，但在某些场景（如离线环境、私有仓库、合规要求）下仍需使用传统密钥对。Cosign 支持生成加密密钥对，并可将公钥上传至云端（如 Sigstore 的 Rekor 透明日志或 OCI 仓库）。

3.3.1 本地生成密钥对

# 生成 cosign 密钥对（默认使用 ECDSA P-256 曲线）
cosign generate-key-pair

# 执行后会在当前目录生成两个文件：
#   cosign.key    —— 私钥（必须安全保管）
#   cosign.pub    —— 公钥（可公开，用于验证签名）

# 查看公钥内容
cat cosign.pub

3.3.2 将公钥上传至云端（OCI 仓库）

Cosign 支持将公钥作为 OCI 制品存储在容器镜像仓库中，便于团队共享和自动化验证。

# 将公钥上传到镜像仓库（示例使用 Docker Hub）
cosign public-key --key cosign.key > public-key.pem

# 上传公钥到 OCI 仓库（需先登录仓库）
cosign upload blob -f public-key.pem \
  --image registry.example.com/project/cosign-keys:latest

# 验证上传结果
cosign download blob \
  --image registry.example.com/project/cosign-keys:latest

3.3.3 云端密钥对与 KMS 集成

对于企业级场景，建议将密钥托管在云 KMS 中，Cosign 原生支持 AWS KMS、GCP KMS、Azure Key Vault 和 HashiCorp Vault。

3.4 环境验证清单

完成上述步骤后，请逐项确认以下检查点：

• CLI 可用：cosign version 返回版本号且无报错。
• OIDC 令牌可获取：在 CI 环境中执行 cosign login 或检查环境变量 ACTIONS_ID__REQUEST_ 是否存在。
• 密钥对已生成：cosign.key 和 cosign.pub 文件存在且权限正确（私钥 600，公钥 644）。
• 公钥已上传：通过 cosign download blob 可拉取到上传的公钥内容。
• KMS 连接正常（如适用）：使用 cosign sign --key <kms-ref> --dry-run 测试连接。