Vérifier l’image¶
Chaque image publiée par le workflow du projet a deux attestations signées, produites avec les attestations d’artefacts de GitHub (Sigstore) :
provenance de construction (SLSA), sur l’image multi-plateforme : quel workflow, quel commit et quel dépôt l’ont construite ;
SBOM (SPDX), sur l’image de chaque plateforme : chaque paquet qu’elle contient.
Vérifiez-les avec la CLI GitHub avant de déployer :
# Provenance: built by this repository's workflow, from this repository.
gh attestation verify oci://ghcr.io/housecairn/housecairn:X.Y.Z \
--repo HouseCairn/housecairn \
--signer-workflow HouseCairn/housecairn/.github/workflows/image.yml
# SBOM of the linux/amd64 image (use its digest, shown by the first command
# below), and its list of packages.
docker buildx imagetools inspect ghcr.io/housecairn/housecairn:X.Y.Z
gh attestation verify oci://ghcr.io/housecairn/housecairn@sha256:<amd64 digest> \
--repo HouseCairn/housecairn --predicate-type https://spdx.dev/Document/v2.3
Écrivez le dépôt sous la forme HouseCairn/housecairn, le nom exact inscrit dans le certificat de signature. Une vérification réussie se termine par ✓ Verification succeeded!. Les attestations sont aussi stockées dans le registre, à côté de l’image.
La construction et la signature de l’image sont décrites dans l”ADR 0015.