cosign

Cosign 是一个用于容器和二进制文件的代码签名和透明度工具。它支持通过 Sigstore 的 Fulcio 证书颁发机构和 Rekor 透明日志实现“无密钥签名”，同时也支持硬件和 KMS 签名以及自定义 PKI。其核心功能包括生成加密的私钥/公钥对、容器签名与验证，并能在 OCI 注册表中存储这些签名信息。该项目采用 Go 语言编写，适合需要增强软件供应链安全性的场景，如确保容器镜像的完整性和来源可信度。