meshery/meshery

[CI] Sign release artifacts

Open

#15.607 aberto em 14 de ago. de 2025

Ver no GitHub
 (6 comments) (0 reactions) (0 assignees)HTML (3.101 forks)batch import
area/cihacktoberfesthelp wantedsecurity

Métricas do repositório

Stars
 (10.013 stars)
Métricas de merge de PR
 (Mesclagem média 22d 16h) (332 fundiu PRs em 30d)

Description

Current Behavior

Meshery does not have signed releases attest to the provenance of its artifacts.

Desired Behavior

Use sigstore and one of its GitHub Actions.

Implementation

Add this GitHub Action to the release process - https://github.com/marketplace/actions/cosign-installer

Acceptance Tests

  1. Meshery's CLOMonitor scorecard is passing for this signed release artifacts check - https://github.com/ossf/scorecard/blob/main/docs/checks.md#signed-releases

Contributor Guides and Handbook

Guia do colaborador

Direção de pesquisa
Implemente a ação do GitHub cosign installer no fluxo de trabalho de release para assinar os artefatos. Siga as instruções no link do marketplace e garanta que as verificações do scorecard CLOMonitor sejam aprovadas.
Pilha de tecnologia
gogithub actions
Domain
devopsci cd
Tipo Issue
Manutenção
DifficultyDificuldade de implementação estimada para um novo contribuidor, de 1 para alterações muito pequenas a 5 para trabalho de nível especializado.
2
Tempo estimadoUm intervalo de tempo aproximado para um colaborador experiente investigar, implementar, testar e preparar um pull request.
1-3 horas
Status da atividadeQuão disponível o issue aparece agora: novo, ativo, obsoleto, bloqueado ou aguardando entrada do mantenedor.
Ativo
ClarityCom que clareza o issue explica a mudança esperada, os critérios de aceitação e a próxima etapa.
Claro
Prerequisites
GitGitHub Actions
Simpatia para novatosUma pontuação de 1 a 100 que estima o quão acessível este issue é para colaboradores iniciantes.
75