3.16. Utilisation de Tekton Chains pour OpenShift Pipelines Sécurité de la chaîne d'approvisionnement

Procédure

1. Créez le TektonChain CR pour votre cluster OpenShift Container Platform.

   apiVersion: operator.tekton.dev/v1alpha1
   kind: TektonChain
   metadata:
     name: chain
   spec:
     targetNamespace: openshift-pipelines

   Copy to Clipboard Toggle word wrap

2. Appliquer la CR TektonChain.

   $ oc apply -f TektonChain.yaml 

   1

   Copy to Clipboard Toggle word wrap

   1

   Remplacer par le nom de fichier du CR TektonChain.

3. Vérifier l'état de l'installation.

   $ oc get tektonchains.operator.tekton.dev

   Copy to Clipboard Toggle word wrap

Procédure

1. Définissez l'espace de noms et le nom du compte de service Kubernetes.

   $ export NAMESPACE=<namespace> 

   1

   
   $ export SERVICE_ACCOUNT_NAME=<service_account> 

   2

   Copy to Clipboard Toggle word wrap

   1

   L'espace de noms associé au compte de service.

   2

   Le nom du compte de service.

2. Créez un secret Kubernetes.

   $ oc create secret registry-credentials \
     --from-file=.dockerconfigjson \ 

   1

   
     --type=kubernetes.io/dockerconfigjson \
     -n $NAMESPACE

   Copy to Clipboard Toggle word wrap

   1

   Remplacer par le chemin d'accès à votre fichier de configuration Docker. Le chemin par défaut est ~/.docker/config.json.

3. Donner au compte de service l'accès au secret.

   $ oc patch serviceaccount $SERVICE_ACCOUNT_NAME \
     -p "{\"imagePullSecrets\": [{\"name\": \"registry-credentials\"}]}" -n $NAMESPACE

   Copy to Clipboard Toggle word wrap

   Si vous corrigez le compte de service pipeline par défaut que Red Hat OpenShift Pipelines attribue à toutes les exécutions de tâches, l'opérateur Red Hat OpenShift Pipelines remplacera le compte de service. En tant que meilleure pratique, vous pouvez effectuer les étapes suivantes :

   1. Créez un compte de service distinct à affecter aux tâches exécutées par l'utilisateur.

      oc create serviceaccount <service_account_name> $ oc create serviceaccount <service_account_name>

      Copy to Clipboard Toggle word wrap

   2. Associez le compte de service aux exécutions de tâches en définissant la valeur du champ serviceaccountname dans le modèle d'exécution de tâches.

      apiVersion: tekton.dev/v1beta1
      kind: TaskRun
      metadata:
      name: build-push-task-run-2
      spec:
      serviceAccountName: build-bot 

      1

      
      taskRef:
        name: build-push
      ...

      Copy to Clipboard Toggle word wrap

      1

      Remplacer par le nom du compte de service nouvellement créé.

Procédure

1. Créez une paire de clés x509 chiffrée et enregistrez-la en tant que secret Kubernetes :

   $ cosign generate-key-pair k8s://openshift-pipelines/signing-secrets

   Copy to Clipboard Toggle word wrap

   Fournissez un mot de passe lorsque vous y êtes invité. Cosign stocke la clé privée résultante dans le secret Kubernetes signing-secrets dans l'espace de noms openshift-pipelines et écrit la clé publique dans le fichier local cosign.pub.

2. Configurer l'authentification pour le registre d'images.

   1. Pour configurer le contrôleur Tekton Chains afin qu'il transmette des signatures à un registre OCI, utilisez les informations d'identification associées au compte de service de l'exécution de la tâche. Pour plus d'informations, voir la section "Authentification auprès d'un registre OCI".

   2. Pour configurer l'authentification pour une tâche Kaniko qui construit et pousse l'image vers le registre, créez un secret Kubernetes du fichier docker config.json contenant les informations d'identification requises.

      $ oc create secret generic <docker_config_secret_name> \ 

      1

      
        --from-file <path_to_config.json> 

      2

      Copy to Clipboard Toggle word wrap

      1

      Remplacer par le nom du secret de configuration de Docker.

      2

      Remplacer par le chemin d'accès au fichier docker config.json.

3. Configurez les chaînes Tekton en définissant les paramètres artifacts.taskrun.format, artifacts.taskrun.storage et transparency.enabled dans l'objet chains-config:

   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"artifacts.taskrun.format": "in-toto"}}'
   
   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"artifacts.taskrun.storage": "oci"}}'
   
   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"transparency.enabled": "true"}}'

   Copy to Clipboard Toggle word wrap

4. Lancez la tâche Kaniko.

   1. Appliquez la tâche Kaniko au cluster.

      $ oc apply -f examples/kaniko/kaniko.yaml 

      1

      Copy to Clipboard Toggle word wrap

      1

      Remplacer par l'URI ou le chemin d'accès à votre tâche Kaniko.

   2. Définir les variables d'environnement appropriées.

      $ export REGISTRY=<url_of_registry> 

      1

      
      
      $ export DOCKERCONFIG_SECRET_NAME=<name_of_the_secret_in_docker_config_json> 

      2

      Copy to Clipboard Toggle word wrap

      1

      Remplacer par l'URL du registre dans lequel vous souhaitez placer l'image.

      2

      Remplacer par le nom du secret dans le fichier docker config.json.

   3. Lancez la tâche Kaniko.

      $ tkn task start --param IMAGE=$REGISTRY/kaniko-chains --use-param-defaults --workspace name=source,emptyDir="" --workspace name=dockerconfig,secret=$DOCKERCONFIG_SECRET_NAME kaniko-chains

      Copy to Clipboard Toggle word wrap

      Observez les journaux de cette tâche jusqu'à ce que toutes les étapes soient terminées. Une fois l'authentification réussie, l'image finale sera poussée sur $REGISTRY/kaniko-chains.

5. Attendez une minute pour permettre à Tekton Chains de générer la provenance et de la signer, puis vérifiez la disponibilité de l'annotation chains.tekton.dev/signed=true lors de l'exécution de la tâche.

   $ oc get tr <task_run_name> \ 

   1

   
   -o json | jq -r .metadata.annotations
   
   {
     "chains.tekton.dev/signed": "true",
     ...
   }

   Copy to Clipboard Toggle word wrap

   1

   Remplacer par le nom de l'exécution de la tâche.

6. Vérifier l'image et l'attestation.

   $ cosign verify --key cosign.pub $REGISTRY/kaniko-chains
   
   $ cosign verify-attestation --key cosign.pub $REGISTRY/kaniko-chains

   Copy to Clipboard Toggle word wrap

7. Trouver la provenance de l'image dans Rekor.

   1. Obtenir le résumé de l'image $REGISTRY/kaniko-chains. Vous pouvez le rechercher lors de l'exécution de la tâche, ou extraire l'image pour en extraire le condensé.

   2. Recherchez dans Rekor toutes les entrées qui correspondent à l'extrait sha256 de l'image.

      $ rekor-cli search --sha <image_digest> 

      1

      
      
      <uuid_1> 

      2

      
      <uuid_2> 

      3

      
      ...

      Copy to Clipboard Toggle word wrap

      1

      Remplacer par le code sha256 de l'image.

      2

      Le premier identifiant universel unique (UUID) correspondant.

      3

      Le deuxième UUID correspondant.

      Le résultat de la recherche affiche les UUID des entrées correspondantes. L'un de ces UUID contient l'attestation.

   3. Vérifier l'attestation.

      $ rekor-cli get --uuid <uuid> --format json | jq -r .Attestation | base64 --decode | jq

      Copy to Clipboard Toggle word wrap