2. Sigstore 核心组件：Cosign 签名工具、Fulcio 证书颁发机构、Rekor 透明日志、OIDC 身份认证

Sigstore 是一个用于对软件制品进行签名和验证的标准化服务，旨在消除传统密钥管理的复杂性。其架构由四个核心组件协同工作，形成一个完整的、可审计的供应链安全闭环。理解这四个组件及其交互关系，是构建策略即代码回滚护栏的基础。

2.1 四组件架构总览

下图展示了 Sigstore 四个核心组件在签名与验证流程中的位置与协作关系。开发者通过 OIDC 获取身份，向 Fulcio 申请证书，使用 Cosign 签名并上传至 Rekor，最终验证者通过 Rekor 和 Fulcio 公钥进行校验。

2.2 组件详解与职责

每个组件在 Sigstore 生态中承担着不可替代的角色。下表从功能、输入输出、安全特性三个维度进行对比。

2.3 Cosign 签名工具

Cosign 是 Sigstore 的命令行工具，负责执行实际的签名与验证操作。它支持两种主要模式：传统密钥对模式和基于 OIDC 的密钥less 模式。在回滚护栏场景中，密钥less 模式是首选，因为它消除了密钥管理的运维负担。

Cosign 的核心操作命令示例：

# 密钥less 模式签名（推荐）
COSIGN_EXPERIMENTAL=1 cosign sign <registry>/<image>:<tag>

# 验证签名
cosign verify --certificate-identity <email> --certificate-oidc-issuer <issuer> <registry>/<image>:<tag>

# 使用传统密钥对签名
cosign generate-key-pair
cosign sign --key cosign.key <registry>/<image>:<tag>

2.4 Fulcio 证书颁发机构

Fulcio 是一个专为软件供应链设计的证书颁发机构（CA）。它不要求用户提供 CSR 或长期身份证明，而是通过验证 OIDC 来颁发证书。这些证书具有以下关键属性：

• 短生命周期： 默认有效期为 10 分钟，大幅降低证书泄露风险。
• 身份绑定： 证书主体（Subject）直接映射到 OIDC 身份（如 email 或 CI 工作流 ID）。
• 自动吊销： 通过 Rekor 日志和 CRL（证书吊销列表）实现快速失效。

Fulcio 的证书链结构如下：

Fulcio Root CA (自签名)
└── Fulcio Intermediate CA
    └── 用户签名证书 (有效期 10 分钟)
        ├── Subject: <OIDC 身份>
        ├── Issuer: Fulcio Intermediate
        └── 扩展: OIDC Issuer URL

2.5 Rekor 透明日志

Rekor 提供了一个不可篡改的、公开可审计的透明日志，用于记录所有签名事件。它基于 Merkle 树数据结构，确保一旦条目被写入，就无法被删除或修改。Rekor 在回滚护栏中的核心价值在于：

• 审计溯源： 任何签名操作都会留下永久记录，便于事后审计。
• 防抵赖： 签名者无法否认其签名行为。
• 离线验证： 验证者可以下载 Merkle 树根哈希，在离线环境下验证签名是否被记录。

2.6 OIDC 身份认证

OIDC（OpenID Connect）是 Sigstore 身份层的基石。它允许开发者使用现有的身份提供商（如 GitHub、Google、Microsoft）进行认证，无需创建新的账户或管理密钥。Sigstore 支持的 OIDC 提供商包括：

OIDC 的工作流程在签名场景中表现为：

1. CI/CD 管道或开发者客户端向 OIDC 提供商发起认证请求。
2. 提供商返回一个 JWT ，其中包含身份信息（如 email、工作流 ID）。
3. 该 被提交给 Fulcio，Fulcio 验证 的签名和有效期后，颁发签名证书。
4. Cosign 使用该证书完成签名操作。

2.7 组件协同：签名与验证流程

为了更清晰地展示四个组件在签名和验证两个阶段的具体交互，下图拆分为两个独立流程。

2.8 组件在回滚护栏中的角色映射

在《Sigstore-Trivy 协同策略即代码回滚护栏》剧本中，每个 Sigstore 组件对应特定的护栏职责：