Интересная статья с официального блога под названием "Verifying Container Image Signatures Within CRI Runtimes".

Там рассказывается о новых фичах, связанных с проверкой подписи образов, в CRI-O и Kubernetes. А именно:
1) Container Runtime CRI-O с версии 1.28 может самостоятельно проверять подписи образов.
2) В Kubernetes версии 1.28 появилась новая image pull ошибка с кодом SignatureValidationFailed

Таким образом:
- Подписи образов контейнеров можно проверять не только на деплое с помощью Policy Engines или policy-controller, но и прям на Node возможностями Container Runtime

Про аналогичную возможность на стороне containerd пока ничего неизвестно.