«Приём релиза только от доверенного издателя» — практический проект DevSecOps для тех, кто знаком с базовыми действиями в терминале и с файлами. Вы создадите приёмник обновлений гида фестиваля прогулок Waymark: примете запрошенное обновление с подписью издателя, опубликуете именно проверенные байты и сохраните существующие функции для посетителей.
Две Guided Lab пошагово знакомят с решениями о доверии и созданием приёмника. Самостоятельный Challenge применяет те же инструменты к доступному гиду: подлинная подпись всё ещё может относиться к другому продукту.
Чему вы научитесь
После завершения курса вы сможете:
- отличать приложенную контрольную сумму от одобрения, полученного по независимому доверенному каналу;
- проверять настоящую подпись Cosign заранее закреплённым открытым ключом издателя;
- отдельно проверять запрошенный продукт, версию и хеш архива;
- писать короткий приёмник на Bash, который останавливается при ошибке и передаёт проверенную копию архива подготовленной программе публикации;
- отклонять неодобренные поставки, сохраняя прошлые релизы, страницы посетителей и настоящую загрузку маршрутов.
Для кого этот курс
Курс предназначен для начинающих специалистов DevSecOps, разработчиков и сотрудников эксплуатации, желающих выполнить небольшую законченную задачу поставки ПО.
Предварительные знания: Базовая навигация в терминале и работа с небольшими текстовыми файлами. Подписи, хеши и необходимый синтаксис оболочки объясняются до использования; программировать на Python не требуется.
Учебная среда: Подготовленный Linux с Cosign, поставками от издателя, отдельно предоставленными доверенным ключом и запросом, а также работающим сайтом Waymark. Для команд используйте Workspace, для настоящих страниц и загрузок — Event Guide.
Часто задаваемые вопросы
Нужны ли облачная учётная запись или собственный ключ подписи?
Нет. Лаборатория предоставляет синтетические подписанные поставки и независимо закреплённый открытый ключ. Закрытый ключ издателя учащимся не предоставляется.
Это полный процесс проверки публичной идентичности Sigstore?
Нет. Проект использует автономные подписи с самостоятельно управляемыми ключами и явно пропускает проверку публичного журнала прозрачности. Он не проверяет публичные идентичности OIDC и не заявляет достижение уровня SLSA.
Что получится в результате?
Повторно используемый приёмник и работающий обновлённый гид с правильными байтами файла маршрутов. Challenge предлагает самостоятельно объединить изученные решения, не вводя нового механизма подписи.
