アテステーション

Docker Hardened Images（DHI）には、イメージのビルドプロセス、内容、セキュリティ状態を検証するための包括的かつ署名付きのセキュリティアテステーションが含まれています。

これらのアテステーションは、セキュアなソフトウェアサプライチェーンの実践における中核的要素であり、イメージの信頼性やポリシー準拠性をユーザーが検証するための手段となります。

アテステーションとは？

アテステーション（attestation）とは、イメージに関する情報（ビルド方法、構成内容、実施済みのセキュリティチェックなど）を記載した検証可能な署名付きの証明文書です。

これらは通常、Sigstore のツール（例：Cosign）を使用して署名されており、改ざんの痕跡が分かる仕組み（改ざん検知性）と暗号学的な検証可能性を備えています。

アテステーションは、in-toto 、CycloneDX 、SLSA  などの標準フォーマットに従い、OCI 準拠のメタデータとしてイメージに添付されます。

これらはイメージのビルド時に自動生成されることもあれば、追加のテスト結果、スキャン結果、独自のプロビナンス情報などを記録するために手動で付与されることもあります。

なぜアテステーションが重要なのか？

アテステーションは、ソフトウェアサプライチェーンにおける重要な可視性を提供し、以下の点で価値を発揮します:

• イメージに何が含まれているかを記録（例：SBOM［ソフトウェア部品表］）

• どのようにビルドされたかを検証（例：ビルドプロビナンス）

• どのセキュリティスキャンを通過・失敗したかを記録（例：CVE レポート、シークレットスキャン、テスト結果など）

• 組織が セキュリティおよびコンプライアンスポリシーを適用するための支援

• ランタイムにおける 信頼判断や CI/CD のポリシーゲートをサポート

アテステーションは、SLSA（Supply-chain Levels for Software Artifacts）などの業界標準の要件を満たすために不可欠であり、ビルドとセキュリティに関する情報を透明かつ検証可能にすることで、サプライチェーン攻撃のリスクを低減するのに役立ちます。

Docker Hardened Images におけるアテステーションの活用

すべての Docker Hardened Images（DHI）は、SLSA Build Level 3 に準拠した手法でビルドされており、各イメージバリアントには署名付きアテステーションの完全なセットが付属しています。

これらのアテステーションにより、ユーザーは以下を行うことができます：

• イメージが信頼されたソースからセキュアな環境でビルドされたことを検証

• 複数形式の SBOM を閲覧し、コンポーネント単位の詳細情報を把握

• 脆弱性や埋め込まれたシークレットの有無など、スキャン結果の確認

• 各イメージのビルドおよびデプロイ履歴を検証

アテステーションは、Docker Hub 上で Organization にミラーリングされた各 DHI に対して自動的に公開・関連付けされます。

Docker Scout や Cosign  のようなツールを使って確認でき、CI/CD ツールチェーンやセキュリティプラットフォームでも活用可能です。

利用可能なアテステーション

すべての DHI バリアントにはアテステーションのセットが含まれていますが、含まれる内容はバリアントによって異なる場合があります。

たとえば、一部のイメージには STIG スキャンのアテステーションが含まれていることがあります。

以下の表には、DHI に含まれる可能性のあるすべてのアテステーションの一覧が示されています。

特定のイメージバリアントにどのアテステーションが含まれているかを確認したい場合は、イメージバリアントの詳細を確認するを参照してください（Docker Hub 上で確認可能です）。

アテステーションを表示・検証する

特定のイメージに対するアテステーションを表示・検証するには、Docker Hardened Image を検証する をご覧ください。

独自のアテステーションを追加する

Docker Hardened Images に含まれる包括的なアテステーションに加えて、派生イメージをビルドする際に独自の署名付きアテステーションを追加することも可能です。

特に、DHI をベースに新しいアプリケーションを構築する場合には、透明性、トレーサビリティ、信頼性を維持するために有効です。

SBOM、ビルドプロビナンス、カスタムメタデータなどのアテステーションを付与することで:

• コンプライアンス要件の達成

• セキュリティ監査の通過

• Docker Scout のようなポリシー評価ツールとの連携

といった目的に対応できます。

これらのアテステーションは、Cosign や Docker Scout などのツールで後続プロセスにおいて検証可能です。

独自アテステーションをビルド時に付与する方法については、Build attestations  をご覧ください。