У Policy Engine под названием Kyverno появился новый тип правил под названием "Verify Images" - как не трудно догадаться из названия данный тип правил нужен для проверки сигнатур образов, а также что менее очевидно заменять tag на digest образа (зачем это - я писал тут).

Под капотом для верификации сигнатур образов контейнеров используется крутой проект Cosign.

По мне очень простая и удобная реализация получилась у ребят:
0) Генерируете ключи с помощью cosign
1) В pipeline с помощью cosign подписываете образа
2) Создаете Kyverno ресурс ClusterPolicy (YAML) с правилом внутри verifyImages, указав к каким образам контейнеров, какой ключ при проверки применять.
3) Применяете созданный ресурс в кластере

Можно ли проще?)