Rekór - ギリシャ語で「記録」の意
Rekorの目標は、ソフトウェアプロジェクトのサプライチェーン内で生成されるメタデータの不変かつ改ざん防止の台帳を提供することです。 Rekorにより、ソフトウェア保守担当者やビルドシステムは、署名付きメタデータを不変の記録として保存できるようになります。 他の関係者は、そのメタデータを照会することで、オブジェクトのライフサイクルに対する信頼と否認防止について、情報に基づいた判断を下せるようになります。詳細については、sigstoreウェブサイトをご覧ください。
Rekorプロジェクトは、検証用のRESTful APIベースのサーバーと、保存用の透明性ログを提供します。 エントリの作成と検証、包含証明のための透明性ログの照会、透明性ログの整合性検証、公開鍵またはアーティファクトによるエントリの取得を行うためのCLIアプリケーションも利用できます。
Rekorは、sigstoreのソフトウェア署名インフラストラクチャにおける署名透明性の役割を果たします。ただし、Rekorは単独で実行することもでき、さまざまなマニフェストスキーマやPKIツールと連携できるように設計されています。
Rekor v1はメンテナンスモードです。
私たちは、保守が容易で運用コストの低い新しいバージョンのRekorを積極的に開発しています。 Certificate Transparencyエコシステムにおける活発な開発を基盤に、Rekor v2はタイルベースのログを採用し、近代化されたバージョンのTrillianであるTrillian-Tesseraを使用する予定です。
進捗状況はrekor-tilesリポジトリで追跡でき、Rekor v2の詳細は提案書と設計ドキュメントでご覧いただけます。V2リリースが近づいたら、rekor-tilesコードベースをこのリポジトリに統合する予定です。
Rekorは1.0.0リリースで正式に一般提供（GA）されており、APIの安定性のためにsemverルールに従っています。 つまり、本番環境のワークロードはRekor公開インスタンスに依存できます。このインスタンスは24時間365日のオンコール体制でサポートされており、以下のAPIエンドポイントに対して99.5%の可用性SLOを提供しています：
/api/v1/log/api/v1/log/publicKey/api/v1/log/proof/api/v1/log/entries/api/v1/log/entries/retrieveRekor公開インスタンスの稼働時間データについては、https://status.sigstore.devをご覧ください。
公開インスタンスの詳細はdocs.sigstore.devにあります。
公開インスタンスへのアップロードのアテステーションサイズ制限は100KBです。より大きなファイルをアップロードする必要がある場合は、Rekorの独自インスタンスを実行してください。その手順はインストールドキュメントに記載されています。
rekor CLIのインストール方法とrekorサーバーのセットアップ/実行方法の詳細については、インストールページをご覧ください。
サポートされているすべてのタイプの署名をrekorにアップロードする例については、タイプのドキュメントをご覧ください。
Rekorはカスタマイズされたマニフェスト（Rekorではタイプと呼びます）を許可しており、タイプのカスタマイズはこちらで説明されています。
Rekorとの統合に興味がある場合は、OpenAPI swaggerエディタがあります。
セキュリティ上の問題を発見した場合は、sigstoreのセキュリティプロセスを参照してください。
あらゆる方からのコントリビューションを歓迎しており、特にRekorのユーザーからのご意見をお待ちしています。
このREADMEファイルに加えて、このフォルダには以下の追加ドキュメントが含まれています：