oc-mirror è un'utilità da riga di comando utilizzata con Red Hat OpenShift per copiare le immagini di release e il contenuto correlato dei container in un registro interno. È progettata per distribuzioni disconnesse o air-gapped, in cui i cluster non possono prelevare aggiornamenti direttamente dai servizi a monte. In questo scenario, il mirror diventa parte della catena di fiducia, non solo una posizione di archiviazione.
È importante perché gli aggiornamenti di OpenShift dipendono dall'integrità del contenuto mirrorato e delle relative firme. I controlli di sicurezza in oc-mirror aiutano a garantire che solo le immagini di release attendibili vengano predisposte per un uso successivo. Gli aggressori possono cercare di influenzare il processo di mirroring interferendo con i controlli delle firme, i proxy, il DNS, i certificati o altri punti di controllo, in modo che contenuti non attendibili vengano accettati. I difensori considerano lo strumento, il suo registro e il flusso di lavoro di verifica come confini di sicurezza e li monitorano attentamente per impedire che origini di aggiornamento compromesse vengano utilizzate.