퀴즈: 이미지 검증과 공급망

문항 6개. 정답과 해설은 풀어 본 뒤에 보여 드립니다.

1. 컨테이너 이미지 서명이 증명하는 것은?

   1. 이미지가 특정 키 또는 특정 파이프라인 신원에서 나왔다는 출처
   2. 이미지에 알려진 취약점이 없다
   3. 이미지가 최신 베이스 이미지를 쓴다
   4. 이미지의 SBOM 이 정확하다

2. attestors 에 키를 하나 더 추가했더니 모든 이미지가 갑자기 검증에 실패했다. 가장 유력한 원인은?

   1. attestors.count 를 지정하지 않아 entries 전부가 통과해야 하는데, 이미지가 새 키로는 서명되지 않았다
   2. rekor.url 이 잘못됐다
   3. mutateDigest 가 꺼져 있다
   4. imageReferences 필드에 변수를 써서 매치가 어긋났다

3. mutateDigest: true 를 켠 다음 날, 태그를 덮어쓰고 파드를 지워 새 이미지를 받게 하던 파이프라인이 아무 일도 하지 않는다. 이유는?

   1. 파드 스펙에 남은 참조가 태그가 아니라 @sha256: 로 고정된 다이제스트라, 새로 뜨는 파드도 처음 고정된 이미지를 쓴다
   2. 정책이 파드 삭제를 막고 있다
   3. 레지스트리 캐시 TTL 이 60분이라 그동안 새 이미지로 갱신되지 않는다
   4. verifyDigest 가 파드 재생성을 차단한다

4. keyless 검증에서 subject 와 issuer 를 지정하는 이유로 가장 정확한 것은?

   1. Rekor 투명성 로그 조회를 아예 생략해 이미지 검증 속도를 높이기 위해서
   2. 레지스트리 인증에 쓰기 위해
   3. 다이제스트를 계산하기 위해
   4. 서명이 어느 OIDC 제공자의 어느 신원(워크플로 경로와 참조 태그까지)으로 만들어졌는지 고정해, 아무 유효 서명이나 통과하지 않게 하기 위해

5. 이미지 검증 캐시에 대한 설명으로 옳은 것은?

   1. 설치 수준 설정이며 기본값은 활성화, 최대 키 1000개, TTL 60분이다
   2. 정책의 필드로 규칙마다 설정한다
   3. 기본적으로 비활성화되어 있어 켜야 한다
   4. 캐시는 Rekor 응답만 저장하고 서명 검증 결과는 저장하지 않는다

6. 사내 미러 레지스트리로 이미지를 옮긴 뒤 서명 검증이 전부 실패한다. 가장 흔한 원인과 조치는?

   1. 미러링이 이미지만 복사하고 서명 아티팩트를 옮기지 않았다. repository 로 서명 위치를 지정하거나 미러링 파이프라인을 고치기 전에는 Enforce 를 켜면 안 된다
   2. 미러 레지스트리의 다이제스트가 원본과 달라졌다. verifyDigest 를 끄면 된다
   3. keyless 는 미러를 지원하지 않는다. 정적 키로 바꿔야 한다
   4. Kyverno 버전이 낮다. 업그레이드하면 해결된다