Docker Sandboxes
说明显示附加在 Kit 上的 SLSA 溯源信息
用法sbx kit provenance REFERENCE [flags]

实验性

此命令为实验性功能。

实验性功能仅用于测试和反馈，其功能或设计可能在不同版本之间无预警地发生变化，也可能在未来的版本中被完全移除。

描述 ​

打印附加在 OCI Kit 上的 SLSA 溯源证明。

溯源信息由 sbx kit push 作为 Kit manifest 的 OCI referrer 附加。它记录 Kit 的内容摘要、其 spec 声明的沙箱镜像，以及推送该 Kit 时所在的源 git 提交。

不带 --sign 推送的溯源信息是未签名的：它仍会被打印，但会标记为 UNSIGNED，因为任何拥有该仓库推送权限的人都可以写入它。要验证已签名的 证明，请为基于密钥的签名传入 --key，或为无密钥签名传入 --certificate-identity （或 --certificate-identity-regexp）并配合 --certificate-oidc-issuer（或其 正则形式）；只有验证通过且其 subject 与 Kit 自身摘要匹配的证明才会被报告 为 VERIFIED。

选项 ​

选项默认值说明
--certificate-identity精确的无密钥签名者身份（证书 SAN）
--certificate-identity-regexp无密钥签名者身份的正则表达式（证书 SAN）
--certificate-oidc-issuer精确的无密钥 OIDC 签发者
--certificate-oidc-issuer-regexp无密钥 OIDC 签发者的正则表达式
--format输出格式：table、json 或 yaml
--insecure-ignore-tlog不要求存在 Rekor 透明日志条目（用于私有的无密钥签名）
--json以 JSON 格式输出
--key用于基于密钥验证的公钥（PEM）

全局选项 ​

选项默认值说明
--cloud改为调用 Docker Cloud Sandboxes API，而不是本地 sandboxd（支持的动词正在逐步增加，运行 sbx --cloud --help 查看当前列表）
-D, --debug启用调试日志
--no-input从不提示；需要应答的命令会直接失败，并给出应当运行的命令

示例 ​

console
# 显示溯源信息（未签名的证明会原样打印）
sbx kit provenance ghcr.io/org/my-kit:1.0

# 在打印前验证已签名的证明
sbx kit provenance \
--certificate-identity user@example.com \
--certificate-oidc-issuer https://accounts.google.com \
ghcr.io/org/my-kit:1.0

参见 ​

  • sbx kit — （实验性）管理 Kit 制品