「신뢰하는 게시자의 릴리스만 수락하기」는 기본적인 터미널 및 파일 작업을 아는 학습자를 위한 DevSecOps 실습 프로젝트입니다. Waymark 걷기 축제 가이드의 수신 스크립트를 만듭니다. 요청된 게시자 서명 업데이트를 수락하고 실제로 검증한 바이트를 게시하며 기존 방문자 기능을 유지합니다.
두 Guided Lab에서 신뢰 판단과 수신 스크립트를 단계별로 익힙니다. 독립 Challenge에서는 같은 도구를 접근성 가이드에 적용합니다. 유효한 서명이라도 다른 제품에 대한 서명일 수 있습니다.
학습 내용
이 과정을 마치면 다음을 수행할 수 있습니다.
- 전달물에 함께 들어 있는 체크섬과 독립된 신뢰 경로로 받은 승인을 구별합니다.
- 미리 신뢰하도록 고정한 게시자 공개 키로 실제 Cosign 서명을 검증합니다.
- 요청된 제품, 버전, 아카이브 해시를 각각 판단합니다.
- 실패 시 중단하고 검증한 아카이브 사본을 준비된 게시 프로그램에 전달하는 짧은 Bash 수신 스크립트를 작성합니다.
- 승인되지 않은 전달물을 거부하면서 이전 릴리스, 방문자 페이지, 실제 경로표 다운로드를 유지합니다.
추천 대상
작지만 완결된 소프트웨어 전달 작업을 경험하려는 DevSecOps 입문자, 개발자, 운영 담당자에게 적합합니다.
사전 지식: 기본 터미널 탐색과 작은 텍스트 파일 사용 경험이 필요합니다. 서명, 해시, 필요한 Shell 구문은 사용 전에 설명하며 Python 프로그래밍은 요구하지 않습니다.
학습 환경: Cosign, 공급자의 전달 패키지, 별도로 제공된 신뢰 키와 요청, 실행 중인 Waymark 웹사이트가 준비된 Linux 환경입니다. 명령에는 Workspace를, 실제 페이지와 다운로드에는 Event Guide를 사용합니다.
자주 묻는 질문
클라우드 계정이나 제 서명 키가 필요한가요?
아니요. 실습에는 합성 데이터로 만든 서명 전달물과 독립적으로 신뢰하도록 고정된 공개 키가 제공됩니다. 게시자의 개인 키는 학습자에게 제공하지 않습니다.
공개 Sigstore 신원 검증 전체 절차인가요?
아니요. 이 프로젝트는 자체 관리 키를 사용하는 오프라인 서명을 다루며 공개 투명성 로그 검증을 명시적으로 생략합니다. 공개 OIDC 신원을 검증하거나 SLSA 수준 달성을 주장하지 않습니다.
어떤 결과물을 완성하나요?
재사용 가능한 수신 스크립트와 정확한 바이트의 경로표를 다운로드할 수 있는 업데이트된 가이드입니다. Challenge에서는 배운 판단을 독립적으로 조합하며 새로운 서명 메커니즘을 도입하지 않습니다.
