典型的なキーレスでの使い方は、CI で cosign sign registry/image@sha256:… を実行し、続いて cosign verify --certificate-identity https://github.com/org/repo/.github/workflows/release.yml@refs/tags/v1.2.3 --certificate-oidc-issuer https://token.actions.githubusercontent.com registry/image@sha256:… を実行するというものです。署名とアテステーションは、レジストリ内でイメージの隣に保存されます（OCI アーティファクトとして保存され、最近は referrers API を使った Sigstore バンドルとして保存されることが増えています）。
署名と検証は常にタグではなくダイジェストで行い、ID と発行者の両方を常に固定してください（あるいは、正規表現版のオプションを意図して使ってください）。Sigstore の policy-controller や Kyverno などのアドミッションコントローラーは、Kubernetes で cosign による検証を強制します。