クイズ: イメージ検証とサプライチェーン

컨테이너 이미지 서명이 증명하는 것은?

• 이미지가 특정 키 또는 특정 파이프라인 신원에서 나왔다는 출처
• 이미지에 알려진 취약점이 없다
• 이미지가 최신 베이스 이미지를 쓴다
• 이미지의 SBOM 이 정확하다

attestors 에 키를 하나 더 추가했더니 모든 이미지가 갑자기 검증에 실패했다. 가장 유력한 원인은?

• attestors.count 를 지정하지 않아 entries 전부가 통과해야 하는데, 이미지가 새 키로는 서명되지 않았다
• rekor.url 이 잘못됐다
• mutateDigest 가 꺼져 있다
• imageReferences 필드에 변수를 써서 매치가 어긋났다

mutateDigest: true 를 켠 다음 날, 태그를 덮어쓰고 파드를 지워 새 이미지를 받게 하던 파이프라인이 아무 일도 하지 않는다. 이유는?

• 파드 스펙에 남은 참조가 태그가 아니라 @sha256: 로 고정된 다이제스트라, 새로 뜨는 파드도 처음 고정된 이미지를 쓴다
• 정책이 파드 삭제를 막고 있다
• 레지스트리 캐시 TTL 이 60분이라 그동안 새 이미지로 갱신되지 않는다
• verifyDigest 가 파드 재생성을 차단한다

keyless 검증에서 subject 와 issuer 를 지정하는 이유로 가장 정확한 것은?

• Rekor 투명성 로그 조회를 아예 생략해 이미지 검증 속도를 높이기 위해서
• 레지스트리 인증에 쓰기 위해
• 다이제스트를 계산하기 위해
• 서명이 어느 OIDC 제공자의 어느 신원(워크플로 경로와 참조 태그까지)으로 만들어졌는지 고정해, 아무 유효 서명이나 통과하지 않게 하기 위해

이미지 검증 캐시에 대한 설명으로 옳은 것은?

• 설치 수준 설정이며 기본값은 활성화, 최대 키 1000개, TTL 60분이다
• 정책의 필드로 규칙마다 설정한다
• 기본적으로 비활성화되어 있어 켜야 한다
• 캐시는 Rekor 응답만 저장하고 서명 검증 결과는 저장하지 않는다

사내 미러 레지스트리로 이미지를 옮긴 뒤 서명 검증이 전부 실패한다. 가장 흔한 원인과 조치는?

• 미러링이 이미지만 복사하고 서명 아티팩트를 옮기지 않았다. repository 로 서명 위치를 지정하거나 미러링 파이프라인을 고치기 전에는 Enforce 를 켜면 안 된다
• 미러 레지스트리의 다이제스트가 원본과 달라졌다. verifyDigest 를 끄면 된다
• keyless 는 미러를 지원하지 않는다. 정적 키로 바꿔야 한다
• Kyverno 버전이 낮다. 업그레이드하면 해결된다