3. Cosign 基础回顾：密钥生成、镜像签名、签名验证流程

Cosign 是 Sigstore 项目下的核心工具，专为容器镜像和软件制品提供无密钥（Keyless）或密钥对（Key-Pair）签名能力。在生产环境中，Cosign 与 OCI 分发规范深度集成，签名数据作为独立层存储在镜像仓库中，无需额外存储后端。本节将系统回顾 Cosign 的三种基础操作：密钥生成、镜像签名与签名验证。

3.1 密钥生成：创建签名身份

Cosign 支持两种身份模式：密钥对模式（适用于 CI/CD 自动化）和 Keyless 模式（适用于临时身份，依赖 OIDC 和 Fulcio CA）。在供应链冷启动场景中，密钥对模式更常见，因为其私钥可安全注入到受控的构建环境。

# 生成加密私钥与公钥对
cosign generate-key-pair

# 输出示例：
# Enter password for private key: ********
# Enter password for private key again: ********
# Private key written to cosign.key
# Public key written to cosign.pub

# 查看公钥内容（用于后续验证）
cat cosign.pub

3.2 镜像签名：将签名附加到 OCI 制品

Cosign 签名操作的核心原理是：计算镜像清单（Manifest）的摘要（Digest），使用私钥对该摘要进行签名，然后将签名数据作为 OCI 制品的一个独立层（Layer）推送到同一镜像仓库。签名层通过 sha256- 前缀的注解与原始镜像关联。

# 使用私钥对镜像进行签名
cosign sign --key cosign.key registry.example.com/app:v1

# 使用 Keyless 模式（自动获取 OIDC 令牌）
cosign sign registry.example.com/app:v1

# 使用 KMS 托管的密钥
cosign sign --kms gcpkms://projects/my-project/locations/global/keyRings/my-ring/cryptoKeys/my-key registry.example.com/app:v1

签名成功后，可以使用 cosign tree 命令查看镜像的签名结构：

cosign tree registry.example.com/app:v1

# 输出示例：
# 📦 Supply Chain Security Related Artifacts for registry.example.com/app:v1
# └── 💾 Signature for registry.example.com/app:v1
#     └── 🖋️  registry.example.com/app@sha256:signature-digest
# └── 📄 SBOM for registry.example.com/app:v1
#     └── 🖋️  registry.example.com/app@sha256:sbom-digest

3.3 签名验证：确保镜像完整性与来源可信

验证是供应链安全的核心防线。Cosign 验证流程会检查：签名是否由对应私钥生成、镜像内容是否被篡改、签名是否在有效期内（Keyless 模式）。验证命令需要提供公钥或信任根。

# 使用公钥验证镜像签名
cosign verify --key cosign.pub registry.example.com/app:v1

# 使用 Keyless 验证（自动查询 Rekor 透明度日志）
cosign verify registry.example.com/app:v1

# 验证并输出详细 JSON 格式
cosign verify --key cosign.pub --output json registry.example.com/app:v1 | jq .

3.4 签名与验证流程总览

下图展示了从密钥生成到签名验证的完整数据流，以及各组件之间的依赖关系：

3.5 常见验证失败原因与排查

在实际运维中，签名验证失败是最常见的供应链中断事件。下表列出了典型失败场景及对应的排查方向：