6.7 · Parcours 6 — Sécuriser (CKS)
Chaîne d'approvisionnement : images minimales, SBOM, signatures
Lab Kubernetes · questionnaire de validation · gratuit, dans le navigateur
Votre cluster exécute du code que vous n'avez pas écrit : images de base, bibliothèques, outils de construction. Une attaque sur la chaîne d'approvisionnement vise ce maillon : une image remplacée sur un registre, une dépendance piégée, un tag réécrit. Pour s'en protéger, on veut savoir exactement ce qui tourne, ce que ça contient, et qui l'a produit. Trois outils y répondent : l'empreinte (digest), le SBOM et la signature.
Ce que vous saurez à la fin : expliquer pourquoi un tag n'identifie pas une image, épingler une image par son empreinte, choisir une image minimale, et décrire le rôle des SBOM, des signatures (Sigstore, cosign), des attestations de provenance (SLSA) et des politiques d'admission qui les vérifient.
Au programme de ce lab
- Votre mission
- Pas à pas
- Un tag n'est qu'une étiquette mobile
- Retrouver l'empreinte d'une image
- Des images minimales
- SBOM : la liste des ingrédients
- Signatures et provenance
- Faire respecter les règles à l'admission
Ce que KubeNow vérifie
- empreinte : une empreinte sha256 complète
- vitrine est épinglée : nginx:1.27-alpine@sha256:…
- L'empreinte notée est celle du Deployment et de l'image qui tourne
- vitrine est disponible après l'épinglage