Image Digest Pinning - CI/CD用語集の定義

digest pinningは、:latestのようなtagではなくsha256のコンテンツdigestでイメージを参照するため、参照が不変になりbuildが再現可能になります。

image digest pinningは、可変なtagではなく不変のコンテンツdigest（たとえば image@sha256:...）でcontainerイメージを参照し、すべてのbuildがまったく同じイメージのバイト列をpullすることを保証します。

tagは新しいコンテンツに付け替えられますが、digestは付け替えられません。だからこそsupply-chainのガイダンスはpinningを推奨します。

tag vs digest

node:20のようなtagは黙って新しいイメージに移動することがありますが、digest参照は常に同じバイト列に解決されます。再現性のため、また付け替えられたtagから守るため、ベースイメージやactionはdigestでpinしてください。