2.7. initdata の作成

手順

1. 次のコマンドを実行して Red Hat build of Trustee の URL を取得します。

   $ TRUSTEE_URL=$(oc get route kbs-service \
     -n trustee-operator-system -o jsonpath='{.spec.host}') \
     && echo $TRUSTEE_URL

2. initdata.toml ファイルを作成します。

   algorithm = "sha384"
   version = "0.1.0"
   
   [data]
   "aa.toml" = '''
   [token_configs]
   [token_configs.coco_as]
   
   url = '<trustee_url>'
   
   [token_configs.kbs]
   url = '<trustee_url>'
   cert = """
   -----BEGIN CERTIFICATE-----
   <kbs_certificate>
   -----END CERTIFICATE-----
   """
   '''
   
   "cdh.toml" = '''
   socket = 'unix:///run/confidential-containers/cdh.sock'
   credentials = []
   
   [kbc]
   name = 'cc_kbc'
   url = '<trustee_url>'
   kbs_cert = """
   -----BEGIN CERTIFICATE-----
   <kbs_certificate>
   -----END CERTIFICATE-----
   """
   '''
   
   "policy.rego" = '''
   package agent_policy
   
   default AddARPNeighborsRequest := true
   default AddSwapRequest := true
   default CloseStdinRequest := true
   default CopyFileRequest := true
   default CreateContainerRequest := true
   default CreateSandboxRequest := true
   default DestroySandboxRequest := true
   default ExecProcessRequest := true
   default GetMetricsRequest := true
   default GetOOMEventRequest := true
   default GuestDetailsRequest := true
   default ListInterfacesRequest := true
   default ListRoutesRequest := true
   default MemHotplugByProbeRequest := true
   default OnlineCPUMemRequest := true
   default PauseContainerRequest := true
   default PullImageRequest := true
   default ReadStreamRequest := false
   default RemoveContainerRequest := true
   default RemoveStaleVirtiofsShareMountsRequest := true
   default ReseedRandomDevRequest := true
   default ResumeContainerRequest := true
   default SetGuestDateTimeRequest := true
   default SetPolicyRequest := true
   default SignalProcessRequest := true
   default StartContainerRequest := true
   default StartTracingRequest := true
   default StatsContainerRequest := true
   default StopTracingRequest := true
   default TtyWinResizeRequest := true
   default UpdateContainerRequest := true
   default UpdateEphemeralMountsRequest := true
   default UpdateInterfaceRequest := true
   default UpdateRoutesRequest := true
   default WaitProcessRequest := true
   default WriteStreamRequest := true
   '''

   URL

   Red Hat build of Trustee URL を指定します。テスト目的で Red Hat build of Trustee を insecure_http で設定する場合は、HTTP を使用します。それ以外の場合は HTTPS を使用します。実稼働システムでは、プロキシーなどを使用して TLS を外部で処理するように環境を設定しない限り、insecure_http を使用しないでください。

   <kbs_certificate>

   attestation agent の Base64 でエンコードされた TLS 証明書を指定します。

   kbs_cert

   Red Hat build of Trustee URL の kbs-config config map で insecure_http = true を設定する場合は、kbs_cert 設定を削除します。

3. 次のコマンドを実行して、initdata.toml ファイルを gzip 形式の Base64 エンコード文字列に変換し、テキストファイルに保存します。

   $ cat initdata.toml | gzip | base64 -w0 > initdata.txt

   ピア Pod の config map またはピア Pod のマニフェスト用に、この文字列を記録しておきます。

4. 次のコマンドを実行して、initdata.toml ファイルの SHA-256 ハッシュを計算し、その値を hash 変数に割り当てます。

   $ hash=$(sha256sum initdata.toml | cut -d' ' -f1)

5. 次のコマンドを実行して、initial_pcr 変数に 32 バイトの 0 を割り当てます。

   $ initial_pcr=0000000000000000000000000000000000000000000000000000000000000000

6. 次のコマンドを実行して、hash と initial_pcr の SHA-256 ハッシュを計算し、その値を PCR8_HASH 変数に割り当てます。

   $ PCR8_HASH=$(echo -n "$initial_pcr$hash" | xxd -r -p | sha256sum | cut -d' ' -f1) && echo $PCR8_HASH

   PCR8_HASH 値を記録しておきます。次のコマンドを実行して、initdata.toml ファイルの SHA-256 ハッシュを計算し、その値を hash 変数に割り当てます。

   $ hash=$(sha256sum initdata.toml | cut -d' ' -f1)

7. 次のコマンドを実行して、initial_pcr 変数に 32 バイトの 0 を割り当てます。

   $ initial_pcr=0000000000000000000000000000000000000000000000000000000000000000

8. 次のコマンドを実行して、hash と initial_pcr の SHA-256 ハッシュを計算し、その値を PCR8_HASH 変数に割り当てます。

   $ PCR8_HASH=$(echo -n "$initial_pcr$hash" | xxd -r -p | sha256sum | cut -d' ' -f1) && echo $PCR8_HASH

   RVPS の config map 用に PCR8_HASH 値を記録しておきます。