7.12. Trustee の値、ポリシー、およびシークレットの設定

手順

1. rvps-configmap.yaml マニフェストファイルを作成します。

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: rvps-reference-values
     namespace: trustee-operator-system
   data:
     reference-values.json: |
       [ 

   1

   
       ]

   1

   この値は空のままにします。

2. 次のコマンドを実行して、RVPS config map を作成します。

   $ oc apply -f rvps-configmap.yaml

手順

1. attestation-policy.yaml マニフェストファイルを作成します。

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: attestation-policy
     namespace: trustee-operator-system
   data:
     default.rego: | 

   1

   
       package policy
       import rego.v1
       default allow = false
       converted_version := sprintf("%v", [input["se.version"]])
       allow if {
           input["se.attestation_phkh"] == "<se.attestation_phkh>" 

   2

   
           input["se.image_phkh"] == "<se.image_phkh>"
           input["se.tag"] == "<se.tag>"
           converted_version == "256"
       }

   1

   ポリシー名は変更しないでください。

   2

   se_parse_hdr.py スクリプトを実行して、取得したアテステーションポリシーフィールドを指定します。

2. 以下のコマンドを実行して、アテステーションポリシー config map を作成します。

   $ oc apply -f attestation-policy.yaml

手順

1. 次のコマンドを実行して、コンテナーイメージの署名検証用のシークレットを作成します。

   $ oc apply secret generic <type> \ 

   1

   
     --from-file=<tag>=./<public_key_file> \ 

   2

   
     -n trustee-operator-system

   1

   KBS シークレットタイプ (例: img-sig) を指定します。

   2

   シークレットタグ (例: pub-key) とパブリックコンテナーイメージ署名鍵を指定します。

2. <type> の値を記録します。KbsConfig カスタムリソースを作成するときに、この値を spec.kbsSecretResources キーに追加する必要があります。

手順

1. 次の例に従って、security-policy-config.json ファイルを作成します。

   • 署名検証なし:

     {
       "default": [
       {
         "type": "insecureAcceptAnything"
       }],
       "transports": {}
     }

   • 署名検証あり:

     {
       "default": [
           {
           "type": "insecureAcceptAnything"
           }
       ],
       "transports": {
           "<transport>": { 

     1

     
               "<registry>/<image>": 

     2

     
               [
                   {
                       "type": "sigstoreSigned",
                       "keyPath": "kbs:///default/<type>/<tag>" 

     3

     
                   }
               ]
           }
       }
     }

     1

     transport のイメージリポジトリーを指定します (例: "docker")。詳細は、containers-transports 5 を参照してください。

     2

     コンテナーレジストリーとイメージを指定します (例: "quay.io/my-image")。

     3

     作成したコンテナーイメージ署名検証シークレットのタイプとタグを指定します (例: img-sig/pub-key)。

2. 次のコマンドを実行してセキュリティーポリシーを作成します。

   $ oc apply secret generic security-policy \
     --from-file=osc=./<security-policy-config.json> \
     -n trustee-operator-system

   シークレットタイプ security-policy または osc のキーを変更しないでください。

   security-policy シークレットは、KbsConfig カスタムリソースの spec.kbsSecretResources キーで指定されます。

手順

1. resourcepolicy-configmap.yaml マニフェストファイルを作成します。

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: resource-policy
     namespace: trustee-operator-system
   data:
     policy.rego: | 

   1

   
       package policy 

   2

   
       path := split(data["resource-path"], "/")
       default allow = false
       allow {
         count(path) == 3
         input["tee"] == "se"
       }

   1

   リソースポリシーの名前 policy.rego は、Trustee config map で定義されたリソースポリシーと一致する必要があります。

   2

   リソースポリシーは Open Policy Agent 仕様に準拠します。この例では、TEE がサンプルのアテスターでない場合にすべてのリソースを取得できます。

2. 次のコマンドを実行して、リソースポリシーの config map を作成します。

   $ oc apply -f resourcepolicy-configmap.yaml