Cosign-Kyverno 조합을 통한 K8s 이미지 무결성 강제 및 Supply Chain 보안 구축

🔐Enforcing image provenance in Kubernetes using Cosign + Sigstore + Kyverno

Matteo Vitali2026년 5월 4일3분intermediate

AI 요약

Context

Mutable Image Tag 사용으로 인한 이미지 출처 불분명 및 Registry 변조 위험 존재. Build 타임부터 Runtime까지의 Trust Gap으로 인해 검증되지 않은 아티팩트가 클러스터에 배포될 수 있는 구조적 한계 분석.

실천 포인트

1. Mutable Tag 대신 Immutable Digest 기반의 검증 체계 도입 검토

2. CI/CD 파이프라인 내 Cosign 서명 단계를 추가하여 신뢰 가능한 출처 정의

3. Kyverno 등 Admission Controller를 사용하여 보안 정책을 런타임이 아닌 Admission 시점에 강제

4. 공개키 기반의 검증 인프라를 구축하여 Registry 자체에 대한 의존도 제거

태그