Was ist Azure Artifact Signing?
Azure Artifact Signing (auch bekannt als Azure Code Signing oder Trusted Signing) ist ein verwalteter Dienst zum Signieren von Software-Artefakten wie Container-Images, Binärdateien und Paketen. Der Service nutzt Hardware Security Modules (HSMs) zur sicheren Schlüsselverwaltung und ermöglicht die Integration in CI/CD-Pipelines.
Signierte Artefakte können von Empfängern verifiziert werden, um Integrität und Herkunft sicherzustellen.
Kernfunktionen
- Signieren von Container-Images mit Notation (CNCF-Standard)
- HSM-geschützte Schlüsselverwaltung ohne eigene Hardware
- Integration mit Azure Container Registry (ACR)
- Unterstützung für verschiedene Signaturformate
- Audit-Logging aller Signiervorgänge
- RBAC-basierte Zugriffskontrolle für Signaturschlüssel
Typische Anwendungsfälle
Container Supply Chain Security: Signieren von Container-Images vor dem Push in die Registry. Kubernetes kann so konfiguriert werden, dass nur signierte Images deployed werden.
Software Distribution: Signieren von Installationspaketen und Binärdateien, damit Endnutzer die Authentizität der Software verifizieren können.
Compliance-Anforderungen: Nachweisbare Code-Signierung für regulierte Branchen wie Finanzdienstleistungen oder Gesundheitswesen.
Vorteile
- Kein eigenes HSM-Management erforderlich
- Nahtlose Integration in Azure DevOps und GitHub Actions
- Reduzierte Komplexität im Vergleich zu Self-Hosted-Lösungen
- Zentrale Verwaltung aller Signaturschlüssel
Häufig gestellte Fragen
Welche Artefakttypen werden unterstützt?
Azure Artifact Signing unterstützt Container-Images (OCI-Format), Windows-Binärdateien, NuGet-Pakete und weitere Formate. Die Notation-Integration ermöglicht das Signieren von Container-Images nach dem CNCF-Standard.
Wie werden die Signaturschlüssel geschützt?
Alle privaten Schlüssel werden in FIPS 140-2 Level 2 zertifizierten Hardware Security Modules (HSMs) gespeichert. Die Schlüssel verlassen nie das HSM.
Kann ich bestehende Zertifikate verwenden?
Für einige Szenarien können eigene Zertifikate importiert werden. Für Container-Signierung werden von Azure verwaltete Zertifikate empfohlen, die automatisch erneuert werden.
Wie verifiziere ich signierte Artefakte?
Container-Images können mit dem Notation CLI oder integrierten Kubernetes-Admission-Controllern verifiziert werden. Die öffentlichen Zertifikate werden in Azure Key Vault oder einem Trust Store bereitgestellt.
Integration mit innFactory
Als Microsoft Solutions Partner unterstützt innFactory Sie bei Azure Artifact Signing: Implementierung in CI/CD-Pipelines, Kubernetes-Integration und Supply Chain Security.
