5.9. Trustee の値、ポリシー、およびシークレットの設定

手順

1. rvps-configmap.yaml マニフェストファイルを作成します。

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: rvps-reference-values
     namespace: trustee-operator-system
   data:
     reference-values.json: |
       [ 1
       ]

   1

   必要に応じて、お使いのハードウェアプラットフォームの信頼できるダイジェストを指定します。それ以外の場合は、空のままにします。

2. 次のコマンドを実行して、RVPS config map を作成します。

   $ oc apply -f rvps-configmap.yaml

手順

1. 次の例に従って、attestation-policy.yaml マニフェストファイルを作成します。

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: attestation-policy
     namespace: trustee-operator-system
   data:
     default.rego: |
       package policy 1
       import future.keywords.every
   
       default allow = false
   
       allow {
         every k, v in input {
             judge_field(k, v)
         }
       }
   
       judge_field(input_key, input_value) {
         has_key(data.reference, input_key)
         reference_value := data.reference[input_key]
         match_value(reference_value, input_value)
       }
   
       judge_field(input_key, input_value) {
         not has_key(data.reference, input_key)
       }
   
       match_value(reference_value, input_value) {
         not is_array(reference_value)
         input_value == reference_value
       }
   
       match_value(reference_value, input_value) {
         is_array(reference_value)
         array_include(reference_value, input_value)
       }
   
       array_include(reference_value_array, input_value) {
         reference_value_array == []
       }
   
       array_include(reference_value_array, input_value) {
         reference_value_array != []
         some i
         reference_value_array[i] == input_value
       }
   
       has_key(m, k) {
         _ = m[k]
       }

   1

   アテステーションポリシーは、Open Policy Agent 仕様に準拠します。この例では、アテステーションポリシーは、アテステーションレポートで提供されたクレームを RVPS データベースに登録されている参照値と比較します。すべての値が一致する場合にのみ、アテステーションプロセスは成功します。

2. 以下のコマンドを実行して、アテステーションポリシー config map を作成します。

   $ oc apply -f attestation-policy.yaml

手順

1. 次の例に従って、tdx-config.yaml マニフェストファイルを作成します。

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: tdx-config
     namespace: trustee-operator-system
   data:
     sgx_default_qcnl.conf: | \
         {
           "collateral_service": "https://api.trustedservices.intel.com/sgx/certification/v4/",
           "pccs_url": "<pccs_url>" 1
         }

   1

   PCCS URL を指定します (例: https://localhost:8081/sgx/certification/v4/)。

2. 以下のコマンドを実行して TDX config map を作成します。

   $ oc apply -f tdx-config.yaml

手順

1. 次のコマンドを実行して、コンテナーイメージの署名検証用のシークレットを作成します。

   $ oc apply secret generic <type> \ 1
     --from-file=<tag>=./<public_key_file> \ 2
     -n trustee-operator-system

   1

   KBS シークレットタイプ (例: img-sig) を指定します。

   2

   シークレットタグ (例: pub-key) とパブリックコンテナーイメージ署名鍵を指定します。

2. <type> の値を記録します。KbsConfig カスタムリソースを作成するときに、この値を spec.kbsSecretResources キーに追加する必要があります。

手順

1. 次の例に従って、security-policy-config.json ファイルを作成します。

   • 署名検証なし:

     {
       "default": [
       {
         "type": "insecureAcceptAnything"
       }],
       "transports": {}
     }

   • 署名検証あり:

     {
       "default": [
           {
           "type": "insecureAcceptAnything"
           }
       ],
       "transports": {
           "<transport>": { 1
               "<registry>/<image>": 2
               [
                   {
                       "type": "sigstoreSigned",
                       "keyPath": "kbs:///default/<type>/<tag>" 3
                   }
               ]
           }
       }
     }

     1

     transport のイメージリポジトリーを指定します (例: "docker")。詳細は、containers-transports 5 を参照してください。

     2

     コンテナーレジストリーとイメージを指定します (例: "quay.io/my-image")。

     3

     作成したコンテナーイメージ署名検証シークレットのタイプとタグを指定します (例: img-sig/pub-key)。

2. 次のコマンドを実行してセキュリティーポリシーを作成します。

   $ oc apply secret generic security-policy \
     --from-file=osc=./<security-policy-config.json> \
     -n trustee-operator-system

   シークレットタイプ security-policy または osc のキーを変更しないでください。

   security-policy シークレットは、KbsConfig カスタムリソースの spec.kbsSecretResources キーで指定されます。

手順

1. resourcepolicy-configmap.yaml マニフェストファイルを作成します。

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: resource-policy
     namespace: trustee-operator-system
   data:
     policy.rego: | 1
       package policy 2
       default allow = false
       allow {
         input["tee"] != "sample"
       }

   1

   リソースポリシーの名前 policy.rego は、Trustee config map で定義されたリソースポリシーと一致する必要があります。

   2

   リソースポリシーは Open Policy Agent 仕様に準拠します。この例では、TEE がサンプルのアテスターでない場合にすべてのリソースを取得できます。

2. 次のコマンドを実行して、リソースポリシーの config map を作成します。

   $ oc apply -f resourcepolicy-configmap.yaml