Attestation in-toto
Attestation in-toto (en anglais in-toto attestation) : format d'enveloppe qui affirme une propriété (le prédicat : SBOM, provenance...) à propos d'un artefact désigné par son empreinte (le sujet).
BuildKit range ses attestations dans l'index de l'image, dans un manifeste de plateforme unknown/unknown ; Cosign les rattache comme artefacts référents. Une attestation signée vaut la confiance accordée à sa signature.
Dans les cours
- Construire des images de conteneurs, leçon 8 : SBOM et attestations de provenance
- Construire des images de conteneurs, leçon 9 : Signer et vérifier ses images