第1章外部ツールとの統合のために GitLab CI にシークレットと変数を追加する

前提条件

GitLab CI を設定する前に、次のものがあることを確認してください。

GitLab リポジトリーと CI/CD 設定への 管理者 アクセス権。
Quay.io、JFrog Artifactory、または Sonatype Nexus からコンテナーイメージをプルするための コンテナーレジストリー認証情報。
特定の GitLab CI タスクの 認証の詳細:
- ACS セキュリティータスクの場合:
  - ROX Central サーバーエンドポイント
  - ROX API トークン
- SBOM およびアーティファクト署名タスクの場合:
  - 署名鍵のパスワード、秘密鍵、公開鍵に署名する
  - Trustification API と発行者 URL、クライアント ID、クライアントシークレット、サポートされている CycloneDX バージョン
注記
認証情報やその他の詳細は、すでに Base64 でエンコードされているため、再度エンコードする必要はありません。これらの認証情報は、RHTAP のインストール中に作成した private.env ファイルにあります。

1.1. オプション 1: UI を使用して GitLab CI にシークレットと変数を追加する
リンクのコピー

手順

この手順では、必要なシークレットと環境変数の両方を追加します。シークレットの値をマスクする必要があることに注意してください。

GitLab にログインし、ソースリポジトリーを開きます。
Setting メニューを展開し、CI/CD を選択します。
Variables セクションで Expand を選択します。
Add variable を選択し、ポップアップウィンドウで最初のシークレットを追加します。
1. Key フィールドに MY_GITLAB_TOKEN と入力します。
2. Value フィールドに、GitLab アカウントに関連付けられているトークンを入力します。
3. Flags で、Mask variable を選択して機密性の高い値を非表示にします。
4. Add variable を選択します。

手順 4 を繰り返して必要なシークレットを追加し、それぞれの Mask variable フラグをチェックします。

Expand

表1.1 イメージレジストリーおよび GitOps シークレット
変数	説明
`QUAY_IO_CREDS_PSW`	Quay リポジトリーにアクセスするためのパスワード。
`ARTIFACTORY_IO_CREDS_PSW`	JFrog Artifactory リポジトリーにアクセスするためのパスワード。
`NEXUS_IO_CREDS_PSW`	Sonatype Nexus リポジトリーにアクセスするためのパスワード。
`GITOPS_AUTH_PASSWORD`	新しくビルドされたイメージの GitOps リポジトリーを更新するためにシステムが使用するトークン。

Expand

表1.2 ACS および SBOM タスクに必要なシークレット
変数	説明
`ROX_API_TOKEN`	ROX サーバーにアクセスするための API トークン。
`COSIGN_SECRET_PASSWORD`	Cosign 署名鍵のパスワード。
`COSIGN_SECRET_KEY`	Cosign の秘密鍵。
`TRUSTIFICATION_OIDC_CLIENT_SECRET`	Trustification Bombastic API への認証にクライアント ID と一緒に使用されるクライアントシークレット。

手順 6 を繰り返して、次の変数を追加します。

Expand

表1.3 イメージレジストリーおよび GitOps 変数
変数	説明
`QUAY_IO_CREDS_USR`	Quay リポジトリーにアクセスするためのユーザー名
`ARTIFACTORY_IO_CREDS_USR`	JFrog Artifactory リポジトリーにアクセスするためのユーザー名
`NEXUS_IO_CREDS_USR`	Nexus リポジトリーにアクセスするためのユーザー名
`GITOPS_AUTH_USERNAME`	OpenShift GitOps のユーザー名。

Expand

表1.4 ACS タスクおよび SBOM タスクに必要な変数
変数	説明
`ROX_CENTRAL_ENDPOINT`	ROX Central サーバーのエンドポイント。
`COSIGN_PUBLIC_KEY`	Cosign の公開鍵。
`TRUSTIFICATION_BOMBASTIC_API_URL`	SBOM 生成で使用される Trustification Bombastic API の URL。
`TRUSTIFICATION_OIDC_ISSUER_URL`	Trustification Bombastic API と対話する際の認証に使用される OIDC 発行者 URL。
`TRUSTIFICATION_OIDC_CLIENT_ID`	OIDC を使用して Trustification Bombastic API に認証するためのクライアント ID。
`TRUSTIFICATION_SUPPORTED_CYCLONEDX_VERSION`	システムがサポートして生成する CycloneDX SBOM バージョンを指定します。

オプション: CI プロバイダーランナーが RHTAP インスタンスと同じクラスター上で実行されていない場合は、Rekor および TUF 変数を設定します。

Expand

表1.5 Rekor および TUF 変数
変数	説明
`REKOR_HOST`	Rekor サーバーの URL。
`TUF_MIRROR`	TUF サービスの URL。

最後のパイプライン実行を再実行して、シークレットが正しく適用されていることを確認します。
1. または、GitLab でアプリケーションのソースリポジトリーに切り替えて、小さな変更を加え、コミットして新しいパイプラインの実行をトリガーします。