Cosign vs Notary: Assinando imagens de container
Cosign (Sigstore) é o assinador de imagens moderno amplamente adotado, notavelmente com assinatura keyless; o clássico Notary v1 (DCT) é em grande parte legado, com Notation como seu sucessor.
Assinar imagens comprova proveniência e integridade. Cosign, parte do Sigstore, suporta assinatura baseada em chave e keyless (OIDC, transparency log) e armazena assinaturas ao lado das imagens no registry. Notary v1 sustentava o Docker Content Trust e hoje é majoritariamente legado; o projeto Notary da CNCF continua como Notation.
| Cosign | Notary | |
|---|---|---|
| Projeto | Sigstore | Notary v1 (legado) / Notation v2 |
| Assinatura keyless | Sim (OIDC + log Rekor) | Não |
| Adoção (2026) | Ampla e crescente | v1 legado; Notation emergindo |
| Armazenamento de assinatura | No registry OCI | Metadados TUF |
| Facilidade de uso no CI | Forte (keyless via OIDC) | Setup mais pesado |
Onde o Cosign vence
Cosign é a escolha moderna de facto: a assinatura keyless usa sua identidade OIDC do CI e um transparency log (Rekor), então não há chaves de longa duração para gerenciar, o que combina bem com CI efêmero. As assinaturas ficam no registry ao lado da imagem, e o ecossistema Sigstore (policy, attestations) é amplo.
Onde Notary/Notation cabem
O clássico Notary v1 (Docker Content Trust) é em grande parte legado; não comece trabalho novo nele. O projeto Notation da CNCF (Notary v2) oferece um padrão de assinatura baseado em TUF e nativo de registry, apoiado por alguns fornecedores enterprise/de registry, e pode servir a organizações que padronizam nesse ecossistema.
No CI
A assinatura keyless do Cosign combina naturalmente com tokens OIDC do CI, evitando armazenamento de chaves. Se seu registry ou stack de compliance exigir Notation, use-o; caso contrário, Cosign é o default mais simples e amplamente suportado em pipelines modernos.
O veredito
Para novos pipelines, prefira Cosign, especialmente a assinatura keyless vinculada ao OIDC do CI; trate o Notary v1 como legado. Considere o Notation apenas se seu registry ou organização padronizar nele.