8.16. Trustee の値、ポリシー、およびシークレットの設定

手順

1. rvps-configmap.yaml マニフェストファイルを作成します。

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: rvps-reference-values
     namespace: trustee-operator-system
   data:
     reference-values.json: |
       [ 

   1

   
       ]

   Copy to Clipboard

   1

   この値は空のままにします。

2. 次のコマンドを実行して、RVPS config map を作成します。

   $ oc apply -f rvps-configmap.yaml

   Copy to Clipboard

手順

1. attestation-policy.yaml マニフェストファイルを作成します。

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: attestation-policy
     namespace: trustee-operator-system
   data:
     default.rego: |
       package policy
       import rego.v1
       default allow = false
       converted_version := sprintf("%v", [input["se.version"]])
       allow if {
           input["se.attestation_phkh"] == "<se.attestation_phkh>"
           input["se.image_phkh"] == "<se.image_phkh>"
           input["se.tag"] == "<se.tag>"
           converted_version == "256"
       }

   Copy to Clipboard

   default.rego

   ポリシー名は変更しないでください。

   <se.attestation_phkh>

   これを、se_parse_hdr.py スクリプトを実行して取得した設定アテステーションポリシーフィールドに置き換えます。

2. 以下のコマンドを実行して、アテステーションポリシー config map を作成します。

   $ oc apply -f attestation-policy.yaml

   Copy to Clipboard

手順

1. 次のコマンドを実行して、コンテナーイメージの署名検証用のシークレットを作成します。

   $ oc apply secret generic <type> \ 

   1

   
     --from-file=<tag>=./<public_key_file> \ 

   2

   
     -n trustee-operator-system

   Copy to Clipboard

   1

   KBS シークレットタイプ (例: img-sig) を指定します。

   2

   シークレットタグ (例: pub-key) とパブリックコンテナーイメージ署名鍵を指定します。

2. <type> の値を記録します。KbsConfig カスタムリソースを作成するときに、この値を spec.kbsSecretResources キーに追加する必要があります。

手順

1. 次の例に従って、security-policy-config.json ファイルを作成します。

   • 署名検証なし:

     {
       "default": [
       {
         "type": "insecureAcceptAnything"
       }],
       "transports": {}
     }

     Copy to Clipboard

   • 署名検証あり:

     {
         "default": [
         ],
         "transports": {
             "docker": {
                 "<container_registry_url>/<username>/busybox:latest": 

     1

     
                 [
                     {
                         "type": "sigstoreSigned",
                         "keyPath": "kbs:///default/img-sig/pub-key" 

     2

     
                     }
                 ]
             }
         }
     }

     Copy to Clipboard

     1

     コンテナーレジストリー URL (例: "quay.io") を指定します。

     2

     作成したコンテナーイメージ署名検証シークレットのタイプとタグを指定します (例: img-sig/pub-key)。

2. 次のコマンドを実行してセキュリティーポリシーを作成します。

   $ oc apply secret generic security-policy \
     --from-file=osc=./<security-policy-config.json> \
     -n trustee-operator-system

   Copy to Clipboard

   シークレットタイプ security-policy または osc のキーを変更しないでください。

   security-policy シークレットは、KbsConfig カスタムリソースの spec.kbsSecretResources キーで指定されます。

手順

1. resourcepolicy-configmap.yaml マニフェストファイルを作成します。

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: resource-policy
     namespace: trustee-operator-system
   data:
     policy.rego:
       package policy
       default allow = true
       allow {
         input["tee"] == "se"
       }

   Copy to Clipboard

   policy.rego

   リソースポリシーの名前 policy.rego は、Trustee config map で定義されたリソースポリシーと一致する必要があります。

   パッケージポリシー

   リソースポリシーは Open Policy Agent 仕様に準拠します。

2. 次のコマンドを実行して、リソースポリシーの config map を作成します。

   $ oc apply -f resourcepolicy-configmap.yaml

   Copy to Clipboard