小路带你看大厂架构｜Datadog Turnstile：镜像签名之外，供应链治理的完整答案 Datadog 开源了一套内部供应链治理系统 Turnstile… · @Zen_with_AI · TwKit

@Zen_with_AI

小路带你看大厂架构｜Datadog Turnstile：镜像签名之外，供应链治理的完整答案 Datadog 开源了一套内部供应链治理系统 Turnstile，解决的问题是：镜像签名只能证明"签名后没被改过"，但投毒依赖、被黑的构建机从源头注入的恶意代码，签名照样能通过。 它的答案是attestation（证据链）。每个制品的每一步commit 是否被 LLM 扫描过恶意代码、PR 有没有被审批、CI job 是谁、SBOM 有没有已知高危漏洞、部署到哪个集群，都生成一份密码学签名的声明，格式借鉴 in-toto。签名不用长寿命密钥，用 dd-attest 无密钥库：临时密钥绑定到 OIDC 工作负载身份（CI job 身份、K8s service account），丢的是密钥，保的是身份。 部署时，policy-core 用 OPA/Rego 在部署热路径上评估环境策略：这件制品配进生产环境吗？策略可以分环境严格程度不同，先 audit 再 block。每天数万次部署都在这套闸门里过。 https://www.datadoghq.com/blog/engineering/software-supply-chain-policy-enforcement/

曝光 268 · 评论 2 · 点赞 2 · 书签 1