macOS
Homebrew確認済み · 100%
brew install notationlocal Homebrew formula metadata
brew
notation を Homebrew, Nix, winget でインストール
notation のインストール経路、実行ファイル、メタデータ、AI エージェント向けセキュリティノートを確認します。
インストール
追加のインストールコマンド
Linux
Nix確認済み · 92%
nix profile install nixpkgs#notationnixpkgs package indexes · pkgs/by-name/no/notation/package.nix · ソース: api.github.com
Windows
Windows Package Manager確認済み · 92%
winget install --id NotaryProject.Notation -eWindows Package Manager source index · NotaryProject.Notation · ソース: cdn.winget.microsoft.com
概要
パッケージ概要
CLI tool to sign and verify OCI artifacts and container images
プロジェクトリンク
コマンドとエイリアス
- notation
履歴
プロジェクトの歴史と使われ方
Notation is the Notary Project command-line implementation for signing and verifying OCI artifacts and container images. Its role is narrower than a general packaging or registry client: it exists to put signatures into the OCI registry ecosystem and to enforce trust policy when artifacts are pulled or promoted.
プロジェクトの歴史
The public tag history for notaryproject/notation starts with v0.7.0-alpha.1 on 2021-10-20, followed by a long alpha and release-candidate line before the first stable v1.0.0 release on 2023-08-15. The v1.0.0 release notes describe it as the CLI reference implementation of the Notary Project Specifications v1.0.0 and call out signing, verification, signature inspection, registry authentication through Docker credential stores, plugin support, trust policy, trust stores, and certificate revocation support.
The project sits inside the broader Notary Project, which is a CNCF Incubating project. That matters for adoption because Notation is not just a standalone CLI: it is tied to a standards-oriented supply-chain security effort around OCI registries and signatures.
採用の歴史
Adoption is strongest in container supply-chain security workflows rather than general developer CLI usage. The README points users at quickstarts for signing and validating container images and at cloud-provider integrations such as Azure Key Vault and AWS Signer. Homebrew analytics are modest, with 256 installs over the 365-day window reported by the formula JSON, which fits a specialized security tool rather than a broad daily shell utility.
使われ方
Package nerds use notation where signatures need to be attached to images or other OCI artifacts and then verified by policy. The practical loop is: authenticate to a registry, sign an artifact, inspect or list signatures, configure trust stores and trust policy, and verify before promotion or deployment. Plugin support is important because signing keys often live in KMS systems rather than local files.
パッケージ好きにとっての重要性
Notation is significant because it is one of the concrete tools package and registry people reach for when discussing OCI-native signatures. Its value is less about command-line ergonomics and more about being the executable face of the Notary Project specifications.
タイムライン
- 2021-10-20: v0.7.0-alpha.1 tag in the public repository.
- 2023-08-15: v1.0.0 release announced as the first stable Notation CLI V1 release.
- 2025-04-24: v1.3.2 tag, the stable version packaged by Homebrew in the checked formula metadata.
- 2025-03-12: v2.0.0-alpha.1 tag appeared, showing active work beyond the 1.x line.
Related projects
- Notary Project specifications, OCI image/distribution specifications, ORAS, Docker credential stores, Azure Key Vault, AWS Signer.
ソース
セキュリティ状態
リスクレベル: orange
broad file, network, media, or database tool signal. infrastructure mutation or orchestration signal.
リスク分類器
リスク orange · 信頼度 中 · infrastructure
理由
- broad file, network, media, or database tool signal
- infrastructure mutation or orchestration signal
信号
- text:container
- text:image
インストール挙動
- formula メタデータに Homebrew post-install フックは記録されていません。
- Homebrew bottle メタデータは 6 個のプラットフォームターゲットで利用できます。
- ビルドメタデータには 1 件のビルド依存関係があります。
推奨レビュー
エージェントに無人実行させる前に、このツールが平文の認証情報を読むか、リモート状態を書き込むか、成果物を公開するか、プラグインを起動するかを確認してください。
local files
Configuration and credential file locations
These source-backed paths show where this package keeps local settings or durable credentials. Automic Vault can use them as review targets for secret scanning, migration, and command approval.
Configuration files
Config paths the tool may read or write during local use.
- Linux
~/.config/notation/config.json- macOS
~/Library/Application Support/notation/config.json- Windows
~/AppData/Roaming/notation/config.json
Credential files
Credential-bearing paths to review before unattended agent runs.
- Linux
~/.config/notation/config.json~/.config/notation/signingkeys.json~/.docker/config.json- macOS
~/Library/Application Support/notation/config.json~/Library/Application Support/notation/signingkeys.json~/.docker/config.json- Windows
~/AppData/Roaming/notation/config.json~/AppData/Roaming/notation/signingkeys.json
実行可能ファイル
インストールされる実行可能ファイル
| コマンド | 種類 | 公開範囲 | メモ |
|---|---|---|---|
notation | cli | グローバル実行可能ファイル |
鮮度
バージョンと鮮度
これらの信号は、ページ生成時期、パッケージマネージャの活動、上流リリース比較を分けて示します。バージョン遅れは、証拠 URL と比較可能なバージョンがある場合だけ警告されます。
ページ生成日2026-07-25
マネージャ版1.3.2
マネージャ更新日
ローカルデータOK
上流最新
検出された最新v1.3.2
https://github.com/notaryproject/notation
- 情報No package-manager update timestamp was available.信頼度 低
インストールメタデータ
パッケージメタデータ
| パッケージキー | brew:notation |
|---|---|
| バージョン | 1.3.2 |
| パッケージマネージャ | Homebrew |
| パッケージマネージャページ | https://formulae.brew.sh/formula/notation |
| ホームページ | https://notaryproject.dev/ |
| リポジトリ | https://github.com/notaryproject/notation |
| 上流ドキュメント | https://github.com/notaryproject/notation#readme |
| ライセンス | Apache-2.0 |
| ソースアーカイブ | https://github.com/notaryproject/notation/archive/refs/tags/v1.3.2.tar.gz |
| ビルド依存関係 | go |
| Bottle | 利用可能 (対象 arm64_linux, arm64_sequoia, arm64_sonoma, arm64_tahoe, sonoma, x86_64_linux) |
| Homebrew post-install | 未定義 |
| サービス | 宣言なし |
レジストリ情報
ソースデータベース詳細
| Source Database | Homebrew formula API |
|---|---|
| Tap | homebrew/core |
| Full Name | notation |
| Version Scheme | 0 |
| Revision | 0 |
| Head Version | HEAD |
| Bottle Stable Root URL | https://ghcr.io/v2/homebrew/core |
| Deprecated | no |
| Disabled | no |
| Keg Only | no |
| URL Keys |
|
ソースデータベース一致
他のパッケージマネージャ記録
一致は外部パッケージマネージャインデックスから取得され、ローカルの Automic Vault パッケージリンクとは分けて表示されます。
Nix95%
notation
nix profile install nixpkgs#notation- normalized package name match
- 一致条件: Notation
winget95%
NotaryProject.Notation
winget install --id NotaryProject.Notation -e- normalized package name match
- 一致条件: Notation
ソース経路
リポジトリデータから生成
このページは scripts/generate-pkg-sqlite.py が生成した非公開のパッケージ SQLite アーティファクトから av-web によって提供されます。
Combined YAML source
View the package source record on GitHub.
使用ソース
- Geiger risk classifier
- Nucleus package database
- av.db category and tag curation
- cross-ecosystem install command graph
- curated configuration and credential file locations
- curated package history
- external package-manager database matches
- package relationship graph
- package version freshness
- package-page enrichment