Как обещал, пример workflow, который компилирует скрипты Go для нескольких платформ, складывает их в bin (в данном случае было нужно именно так, но их можно грузить в releases), считает контрольные суммы, а затем файл с суммами подписывает и добавляет аттестацию. Это условная "keyless" подпись (реально задействуется токен репо) github.com/bodrovis/pull-sample/blob/master/.github/workflows/build.yml