Verificar con política de identidad

Al verificar con firma sin clave, la herramienta comprueba que la firma es válida para el contenido, que el certificado viene de la autoridad esperada y que la firma estaba en el registro de transparencia. Pero la pregunta de fondo la responde la política con dos datos que quien verifica debe fijar: la identidad que se acepta (el SAN del certificado) y el emisor de esa identidad (por ejemplo, el proveedor del CI). En la herramienta de firma son las opciones --certificate-identity y --certificate-oidc-issuer, con variantes de expresión regular.

Si no se fijan, cualquier persona con una cuenta en cualquier proveedor de identidad puede firmar y pasar la verificación de «firma válida».

La política actual acepta cualquier identidad que empiece por la dirección de la organización. Eso incluye repositorios de experimento y flujos de revisión. Abre el informe de lo que corre en producción: con esa expresión todo da verde, pero no todo debería.

Busca la imagen cuyo repositorio de origen no es el de un servicio de producto.

La propuesta del equipo de plataforma es exigir una identidad exacta: el flujo publicar-imagen.yml en la rama principal, de un repositorio de producto. Con ella, una imagen firmada desde una rama de experimento o desde una solicitud de cambios deja de pasar.

Aplica la propuesta a las seis imágenes y cuenta cuántas pasaban con la expresión amplia pero ya no pasarían.

Una identidad exacta es la más estricta, pero cada servicio nuevo obliga a tocar la política. El equilibrio habitual: fijar el emisor, fijar la organización, el nombre del flujo y la rama, y dejar variable solo el nombre del servicio, validado contra un catálogo. Lo que no se debe hacer es dejar variable la rama o el flujo: son justamente lo que distingue una publicación oficial de una prueba.

Una política exacta solo protege donde se aplica. Abre los espacios de nombres del clúster y mira cuáles la exigen. Un espacio donde los equipos pueden lanzar imágenes sin firma es un camino hacia el que se puede mover una carga, aunque producción esté bien cerrada.