證明

Docker 硬化映象 (DHI) 包含全面的、已簽名的安全證明，用於驗證映象的構建過程、內容和安全態勢。這些證明是安全軟體供應鏈實踐的核心組成部分，有助於使用者驗證映象是否可信並符合策略。

什麼是證明？

證明是一種已簽名的宣告，提供有關映象的可驗證資訊，例如它是如何構建的、內部包含什麼以及通過了哪些安全檢查。證明通常使用 Sigstore 工具（例如 Cosign）進行簽名，使其防篡改並可進行加密驗證。

證明遵循標準化格式（如 in-toto、CycloneDX 和 SLSA），並作為符合 OCI 標準的元資料附加到映象。它們可以在映象構建期間自動生成，也可以手動新增以記錄額外的測試、掃描結果或自定義來源。

為什麼證明很重要？

證明透過以下方式為軟體供應鏈提供關鍵可見性：

• 記錄映象中包含的*內容*（例如 SBOM）
• 驗證其*構建方式*（例如構建來源）
• 捕獲它透過或未透過的*安全掃描*（例如 CVE 報告、秘密掃描、測試結果）
• 幫助組織強制執行合規性和安全策略
• 支援執行時信任決策和 CI/CD 策略門

它們對於滿足 SLSA 等行業標準至關重要，並透過使構建和安全資料透明和可驗證來幫助團隊降低供應鏈攻擊的風險。

Docker 硬化映象如何使用證明

所有 DHI 均使用 SLSA 構建級別 3 實踐構建，每個映象變體都發布了一整套已簽名的證明。這些證明允許使用者：

• 驗證映象是否在安全環境中從可信源構建
• 以多種格式檢視 SBOM，以瞭解元件級詳細資訊
• 檢視掃描結果，以檢查漏洞或嵌入的秘密
• 確認每個映象的構建和部署歷史

證明會自動釋出並與您的 Docker Hub 組織中每個映象的 DHI 相關聯。它們可以使用 Docker Scout 或 Cosign 等工具進行檢查，並且可供 CI/CD 工具或安全平臺使用。

可用證明

雖然每個 DHI 變體都包含一組證明，但證明可能會因映象變體而異。例如，某些映象可能包含 STIG 掃描證明。下表是 DHI 中可能包含的所有證明的完整列表。要檢視特定映象變體可用的證明，您可以在 Docker Hub 中檢視映象變體詳細資訊。

檢視和驗證證明

要檢視和驗證映象的證明，請參閱驗證 Docker 硬化映象。

新增您自己的證明

除了 Docker 硬化映象提供的全面證明外，您還可以在構建衍生映象時新增自己的簽名證明。如果您在 DHI 之上構建新應用程式，並且希望在軟體供應鏈中保持透明度、可追溯性和信任，這將特別有用。

透過附加 SBOM、構建來源或自定義元資料等證明，您可以滿足合規性要求，透過安全審計，並支援 Docker Scout 等策略評估工具。

然後，可以使用 Cosign 或 Docker Scout 等工具在下游驗證這些證明。

要了解如何在構建過程中附加自定義證明，請參閱構建證明。