5.8. initdata の作成

手順

1. 次のコマンドを実行して、Red Hat build of Trustee の IP アドレスを取得します。

   $ oc get node $(oc get pod -n trustee-operator-system \
     -o jsonpath='{.items[0].spec.nodeName}') \
     -o jsonpath='{.status.addresses[?(@.type=="InternalIP")].address}'

   出力例

   192.168.122.22

2. 次のコマンドを実行してポートを取得します。

   $ oc get svc kbs-service -n trustee-operator-system

   出力例

   NAME         TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)          AGE
   kbs-service  NodePort    172.30.116.11   <none>        8080:32178/TCP   12d

3. initdata.toml ファイルを作成します。

   algorithm = "sha384"
   version = "0.1.0"
   
   [data]
   "aa.toml" = '''
   [token_configs]
   [token_configs.coco_as]
   
   url = '<trustee_url>'
   
   [token_configs.kbs]
   url = '<trustee_url>'
   '''
   
   "cdh.toml" = '''
   socket = 'unix:///run/confidential-containers/cdh.sock'
   credentials = []
   
   [kbc]
   name = 'cc_kbc'
   url = '<trustee_url>'
   kbs_cert = """
   -----BEGIN CERTIFICATE-----
   <kbs_certificate>
   -----END CERTIFICATE-----
   """
   [image]
   image_security_policy_uri = 'kbs:///default/<secret-policy-name>/<key>
   '''

   url

   Red Hat build of Trustee を指定します。

   <kbs_certificate>

   attestation agent の Base64 でエンコードされた TLS 証明書を指定します。

   kbs_cert

   Red Hat build of Trustee URL の kbs-config config map で insecure_http = true を設定する場合は、kbs_cert 設定を削除します。

   image_security_policy_uri

   コンテナーイメージ署名検証ポリシーを有効にした場合のみ (オプション)。<secret-policy-name> と <key> は、それぞれ KbsConfig カスタムリソースの作成 で指定したシークレット名とキーに置き換えます。

4. 次のコマンドを実行して、initdata.toml ファイルを gzip 形式の Base64 エンコード文字列に変換し、テキストファイルに保存します。

   $ cat initdata.toml | gzip | base64 -w0 > initdata.txt

   この文字列を記録して、Pod マニフェストで使用します。