Chains should caution users when configuring it to sign an artifact that it didn't produce
Los mantenedores suelen responder en 2 días
Nadie ha tomado este issue todavía.
Evaluación
- Dificultad
- 3/5
- Tiempo estimado
- 1-2 días
- Aptitud para principiantes
- 35/100
- Tipo de issue
- Documentación
- Claridad
- Bastante claro
- Estado de actividad
- Estancado
- Área
- documentation, security
Línea de trabajo
Comienza con la discusión de la pull request enlazada y localiza la documentación que cubre la firma de imágenes y SBOMs con Chains. Documenta las consideraciones de confianza para firmar artefactos que Chains no produjo, incluido el enfoque de firma preferido dentro del pipeline; el issue no menciona archivos ni pruebas.
Escrito por el modelo de indexación a partir del texto del issue.
Descripción
Created based on https://github.com/tektoncd/chains/pull/730#discussion_r1179481642
It is generally preferable to sign produced artifacts by the process which generated them in order to more clearly indicate the level of trust which can be associated. As Chains is becoming more capable to sign artifacts (images, SBOMs) which it doesn't produce, the considerations should be documented for users to take into account before enabling this functionality.
Having some signature is better than no signature, it would be preferable to leverage some process like keyless signing and spiffe/spire to enable signing within the pipeline of artifacts generated by the pipeline. If chains only signs the content which it produces (i.e. provenance), then its actions can be more clearly tied to a more trusted service within a build platform.
- Lenguaje dominante
- Go
- Estrellas
- 279
- Forks
- 171
- Merge medio
- 2 d 4 h
- PR fusionados (30 d)
- 70
Preparar el entorno
- Sin Dockerfile ni archivo de Docker Compose
- Tiene una plantilla de pull request
- Leer la guía de contribución
Primeros pasos
- Lee el issue completo y luego la guía de contribución del proyecto.
- Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
- Haz un fork del repositorio y trabaja en una rama.
- Abre un pull request que haga referencia al número del issue.
Más de tektoncd/chains
-
Add missing fields in `config.md` docsPosiblemente ocupada @cvas22 la tomó hace 19 días. Abiertokind/feature lifecycle/frozen
Dificultad 1/5 1-3 horas Aptitud para principiantes 65/100
tektoncd/chains#748 · 3 comentarios ·
Los mantenedores suelen responder en 2 días
-
Dificultad 5/5 Más de una semana Aptitud para principiantes 42/100
tektoncd/chains#2024 · 2 reacciones ·
Los mantenedores suelen responder en 2 días
-
Bug: MarkSigned called despite signer-load or format-not-found failures (signed=true with no signature)Posiblemente ocupada @anithapriyanatarajan la tomó hace 119 días. Abiertokind/bug
tektoncd/chains#1796 · 1 asignado ·
Los mantenedores suelen responder en 2 días
-
Warn when non-default TUF mirror URL is configuredQuizá libre de nuevo @anithapriyanatarajan la tomó hace 167 días y no hay ningún pull request abierto. Abiertokind/feature
tektoncd/chains#1665 · 1 comentario · 1 asignado ·
Los mantenedores suelen responder en 2 días
-
Warn or block when OCI storage uses result-derived registry without storage.oci.repositoryPosiblemente ocupada @ahmedbektic la tomó hace 39 días. Abiertokind/feature
Dificultad 3/5 1-2 días Aptitud para principiantes 62/100
Los mantenedores suelen responder en 2 días
Todos los issues de tektoncd/chains
Issues similares
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 68/100
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 67/100
Los mantenedores suelen responder en 2 días
-
build: make check-linter version tests deterministicPosiblemente ocupada Un pull request vinculado a esta issue está abierto o ya se fusionó. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100
Los mantenedores suelen responder en 1 día
-
GitHub webhook is not subscribed to release events, so `event: release` never triggersPosiblemente ocupada @qsun la tomó hoy. Abierto
Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100
woodpecker-ci/woodpecker#7542 ·
Los mantenedores suelen responder en 1 día
-
Dificultad 2/5 1-3 horas Aptitud para principiantes 74/100
zilliztech/milvus-backup#1386 ·
Los mantenedores suelen responder en 1 día