「信頼できる発行者のリリースだけを受け入れる」は、ターミナルとファイルの基本操作を学んだ方のための DevSecOps 実践プロジェクトです。Waymark のウォーキングフェスティバルのガイドを更新する受信スクリプトを作ります。要求された発行者署名付き更新を受け入れ、実際に検証したバイト列を公開し、既存の来場者向け機能を維持します。
2 つの Guided Lab で、信頼の判断と受信スクリプトを順に学びます。独立した Challenge では、同じツールを使ってバリアフリーガイドを更新します。本物の署名でも、別の製品に対する署名である場合があります。
学習内容
このコースを修了すると、次のことができるようになります。
- 配布物に同梱されたチェックサムと、独立した信頼できる経路で得た承認を区別する。
- あらかじめ信頼する発行者の公開鍵を使い、実際の Cosign 署名を検証する。
- 要求された製品、バージョン、アーカイブのダイジェストをそれぞれ判断する。
- 失敗時に停止し、検証済みアーカイブのコピーを用意された公開プログラムに渡す短い Bash スクリプトを書く。
- 未承認の配布物を拒否しながら、以前のリリース、来場者向けページ、実際のルート表ダウンロードを維持する。
このコースの対象者
小さくても一通り完結したソフトウェア配布の作業を経験したい DevSecOps 初学者、開発者、運用担当者を対象としています。
前提知識： ターミナルでの基本的な移動と、小さなテキストファイルの扱い方。署名、ダイジェスト、必要な Shell 構文は使用前に説明します。Python のプログラミング経験は不要です。
学習環境： Cosign、提供元の配布パッケージ、別経路で用意された信頼済み公開鍵と更新要求、稼働中の Waymark サイトを備えた Linux 環境です。コマンドには Workspace、実際のページとダウンロードには Event Guide を使います。
よくある質問
クラウドアカウントや自分の署名鍵は必要ですか？
不要です。ラボには合成データによる署名付き配布物と、独立して信頼するものとして設定された公開鍵が用意されています。発行者の秘密鍵は受講者には渡されません。
公開 Sigstore の本人性確認をすべて行うコースですか？
いいえ。このプロジェクトでは自己管理する鍵によるオフライン署名を使い、公開透明性ログの検証を明示的に省略します。公開 OIDC ID の検証は行わず、SLSA レベルの達成も主張しません。
完成する成果物は何ですか？
再利用可能な受信スクリプトと、正しいバイト列のルート表をダウンロードできる更新済みガイドです。Challenge では学んだ判断を自分で組み合わせ、新しい署名方式は導入しません。
