La Linux Foundation a annoncé que Kubernetes a terminé la réécriture de son système kpromo, modernisant ainsi la chaîne d'approvisionnement pour la promotion d'images. Cette mise à jour supprime l'ancien pipeline et active par défaut les fonctionnalités de provenance pour toutes les images.
Kubernetes, la plateforme d'orchestration de conteneurs open-source bien connue, a modernisé sa chaîne d'approvisionnement pour la promotion d'images grâce à une réécriture complète de kpromo, le système responsable du transfert des images vers le registre sur github.com/kubernetes/registry.k8s.io. La Linux Foundation a partagé cette mise à jour, notant que l'ancien pipeline a été entièrement supprimé. Des fonctionnalités de provenance plus récentes sont désormais activées par défaut, incluant l'attestation SLSA, la validation cosign et la signature sans clé pour toutes les images Kubernetes. La Linux Foundation a décrit cette étape comme cruciale pour renforcer la confiance dans la chaîne d'approvisionnement. kpromo joue un rôle clé en garantissant que les images de conteneurs utilisées dans les déploiements Kubernetes respectent les normes de sécurité avant d'entrer dans le registre officiel. Ce changement vise à améliorer les pratiques de sécurité à travers l'écosystème en rendant standards les méthodes de vérification avancées. L'annonce souligne les efforts continus pour renforcer l'intégrité de la chaîne d'approvisionnement logicielle face aux préoccupations croissantes concernant les vulnérabilités dans les images de conteneurs.
