Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Feature Request: support validation of additional git commit signature types

Đang mở
  • Có gì không ổn?
#1,996 15 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
5/5
Thời gian dự kiến
Hơn một tuần
Mức phù hợp với người mới
35/100
Loại issue
Tính năng
Độ rõ ràng
Cần làm rõ
Mức độ hoạt động
Ít trao đổi
Công nghệ
git, go
Lĩnh vực
security

Hướng nghiên cứu

Bắt đầu bằng việc xem xét cơ chế xác thực GPG hiện có trong source-controller và phần triển khai chữ ký SSH trong fluxcd/pkg PR 1141. Trước khi triển khai, hãy làm rõ với các maintainer những loại chữ ký, hạn chế đối với signer hoặc author, kiểm tra chứng chỉ và cấu hình công cụ nào nằm trong phạm vi; được xem là hoàn tất khi có thiết kế đã thống nhất và phạm vi bao phủ xác thực cho các đường dẫn được chọn.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Hi,

I'm currently looking into improving the validation of git commit and tag signatures. SSH signature validation has now been implemented.

I would be happy to implement the support in the source-controller as well but had a few questions regarding the design of the implementation.

In general the GPG validation lacks the configuration options to define a list of valid commiters or authors. This is especially troublesome if an instance key is used to sign the commits (GitLab, GitHub).

To give users the option to use "signed web commits" I would propose following options and implementation:

  • GPG and SSH:
    • Verify signatures (GPG and SSH) with provided public keys
    • Verify commit commiter against list of valid commiters, if provided via configuration
    • Verify commit auther against list of valid authers, if provided via configuration
  • x509:
    • Verify signature certificate CN against list of valid commiters, if provided via configuration
    • Verify signature certificate agains a CA certificate, if provided
    • support implementations for smimesign and gitsign
    • provide config option to pass further configuration to gitsign (rekor and fulcio configuration)

What are your thoughts on this?

Implementing this would enable our organisation to enforce signed Git commits for Kubernetes deployments. Then the user and organisation can choose which type of git signatures are used which level will be enforced.

Ngôn ngữ chính
Go
Star
283
Fork
258
Merge trung bình
1 ngày 17 giờ
Pull request đã merge (30 ngày)
15

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của fluxcd/source-controller

Tất cả issue của fluxcd/source-controller

Issue tương tự

Thêm issue về Go

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.