Hacktoberfest 2026: le issue che i maintainer hanno segnato per ottobre, aperte e adatte ai principianti. Sfoglia le issue Hacktoberfest

Feature Request: support validation of additional git commit signature types

Aperta
#1,996 15 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà
5/5
Tempo stimato
Più di una settimana
Idoneità per principianti
35/100
Tipo di issue
Funzionalità
Chiarezza
Da chiarire
Stato di attività
Tranquilla
Stack tecnologico
git, go
Ambito
security

Direzione di ricerca

Inizia esaminando la validazione GPG esistente in source-controller e l’implementazione delle firme SSH in fluxcd/pkg PR 1141. Chiarisci con i maintainer quali tipi di firma, restrizioni per signer o author, verifiche dei certificati e configurazione degli strumenti rientrano nell’ambito prima dell’implementazione; il lavoro è considerato completato quando esistono un design concordato e una copertura di validazione per i percorsi selezionati.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

Hi,

I'm currently looking into improving the validation of git commit and tag signatures. SSH signature validation has now been implemented.

I would be happy to implement the support in the source-controller as well but had a few questions regarding the design of the implementation.

In general the GPG validation lacks the configuration options to define a list of valid commiters or authors. This is especially troublesome if an instance key is used to sign the commits (GitLab, GitHub).

To give users the option to use "signed web commits" I would propose following options and implementation:

  • GPG and SSH:
    • Verify signatures (GPG and SSH) with provided public keys
    • Verify commit commiter against list of valid commiters, if provided via configuration
    • Verify commit auther against list of valid authers, if provided via configuration
  • x509:
    • Verify signature certificate CN against list of valid commiters, if provided via configuration
    • Verify signature certificate agains a CA certificate, if provided
    • support implementations for smimesign and gitsign
    • provide config option to pass further configuration to gitsign (rekor and fulcio configuration)

What are your thoughts on this?

Implementing this would enable our organisation to enforce signed Git commits for Kubernetes deployments. Then the user and organisation can choose which type of git signatures are used which level will be enforced.

Lingua principale
Go
Stelle
283
Fork
252
Merge medio
1h 6m
PR unite (30g)
12

Guida per i contributori

Apri la guida per i contributori

Come iniziare

  1. Leggi tutta la issue e poi la guida ai contributi del progetto.
  2. Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
  3. Fai un fork del repository e lavora su un branch.
  4. Apri una pull request che faccia riferimento al numero della issue.

Altre issue di fluxcd/source-controller

Tutte le issue di fluxcd/source-controller

Issue simili

Altre issue su Go

Ricevi le nuove issue nella tua casella

Un breve riepilogo di issue GitHub adatte ai principianti.