supply-chain безопасности в Kubernetes (и на самом деле не только в нем) знают проект Sigstore.Но мало кто знает, что у данного проекта есть собственный
admission controller под названием policy-controller, который может применять политики к ресурсам на основании supply-chain metadata от утилиты cosign. Единственное учтите, что эта часть проекта Sigstore новая и пока находится в активной стадии разработки.Данный контроллер позволяет проверять:
- Подписи образов
- Аттестацию связанных с образом ресурсов (
SBOM и т.д.)Для всего это требуется создать свою политику, которая из себя представляет
Custom Resource типа ClusterImagePolicy.В этой политики можно описать:
- К каким образам и в каких
namespaces, pods и из каких image registry это применяется- Что проверить, например, подпись образа, наличие
SBOM или его содержимое (логика пишется на CUE)!- Реакцию
warn|allow|deny (по умолчанию deny)На скрине политика, что не пропустит образы с уязвимостью
Text4Shell