超越容器镜像签名：Datadog 如何执行软件供应链策略

Datadog 内部建了一个叫 Turnstile 的系统。原来他们的镜像签名只能证明镜像签名后没被改过，但挡不住更早环节出问题，比如代码合入时被塞进恶意改动、依赖被投毒、构建环境被入侵，这些镜像照样能带着有效签名上线。Turnstile 在软件从代码到镜像的每一步都生成加密签名的“证明”，记录是谁、在什么环境、经过什么审核，部署前再按环境策略检查这些证明，比如生产环境要求更严。这样安全团队能提前拦截不合格镜像，也不用对开发流程造成太多打扰。目前它是 Datadog 内部系统，文章没有说明是否对外开源或商用。