概述
镜像供应链的风险贯穿基础镜像、构建、扫描与部署各环节。按摘要固定基础镜像并按期重建、在关键级别失败、构建后签名并记录来源、部署准入时校验，可让“信任”从口头承诺变为可验证的链条。
关键步骤
- 按摘要固定基础镜像并定期重建。
- 扫描镜像并按策略阈值失败。
- 构建后签名并记录来源信息。
- 在部署准入时校验签名与来源。
验证
- 未签名或被篡改的镜像在准入时被拒。
- 部署镜像摘要与签名摘要一致。
- 关键与高危漏洞阻断发布。
- 签名与来源记录按保留期留存。
决策点
关键与高危应阻断并保留有文档的例外通道；签名既在流水线校验也在准入校验，以兜住绕过流水线的镜像。
适用范围
本条目围绕「容器镜像供应链工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。
建议在正式环境落地前先在预发或隔离环境演练一遍，把关键观测指标与负责人一并记录，确保出现异常时能快速定位并恢复。
cosign sign --key cosign.key $IMAGE
docker pull $IMAGE # then verify
cosign verify --key cosign.pub $IMAGE
# admission policy rejects unsigned images