8.5. initdata の作成

手順

1. 次のコマンドを実行して、Trustee IP アドレスを取得します。

   $ oc get node $(oc get pod -n trustee-operator-system -o jsonpath='{.items[0].spec.nodeName}') -o jsonpath='{.status.addresses[?(@.type=="InternalIP")].address}'

   出力例

   192.168.122.22

2. 次のコマンドを実行して Trustee ポートを取得します。

   $ oc get svc kbs-service -n trustee-operator-system

   出力例

   NAME         TYPE        CLUSTER-IP      EXTERNAL-IP   PORT(S)          AGE
   kbs-service  NodePort    172.30.116.11   <none>        8080:32178/TCP   12d

3. initdata.toml 設定ファイルを作成します。

   ```toml
   algorithm = "sha384"
   version = "0.1.0"
   
   [data]
   "aa.toml" = '''
   [token_configs]
   [token_configs.coco_as]
   url = 'https://<worker_node_ip>:<node_port>' 

   1

   
   
   
   [token_configs.kbs]
   url = 'https://<worker_node_ip>:<node_port>'
   cert = """
   -----BEGIN CERTIFICATE-----
   <kbs_certificate> 

   2

   
   -----END CERTIFICATE-----
   """
   '''
   
   "cdh.toml"  = '''
   socket = 'unix:///run/confidential-containers/cdh.sock'
   credentials = []
   
   [kbc]
   name = 'cc_kbc'
   url = 'https://<worker_node_ip>:<node_port>'
   kbs_cert = """ 

   3

   
   -----BEGIN CERTIFICATE-----
   <kbs_certificate> 

   4

   
   -----END CERTIFICATE-----
   """
   '''
   
   "policy.rego" = ''' 

   5

   
   package agent_policy
   
   default AddARPNeighborsRequest := true
   default AddSwapRequest := true
   default CloseStdinRequest := true
   default CopyFileRequest := true
   default CreateContainerRequest := true
   default CreateSandboxRequest := true
   default DestroySandboxRequest := true
   default ExecProcessRequest := true
   default GetMetricsRequest := true
   default GetOOMEventRequest := true
   default GuestDetailsRequest := true
   default ListInterfacesRequest := true
   default ListRoutesRequest := true
   default MemHotplugByProbeRequest := true
   default OnlineCPUMemRequest := true
   default PauseContainerRequest := true
   default PullImageRequest := true
   default ReadStreamRequest := true
   default RemoveContainerRequest := true
   default RemoveStaleVirtiofsShareMountsRequest := true
   default ReseedRandomDevRequest := true
   default ResumeContainerRequest := true
   default SetGuestDateTimeRequest := true
   default SetPolicyRequest := true
   default SignalProcessRequest := true
   default StartContainerRequest := true
   default StartTracingRequest := true
   default StatsContainerRequest := true
   default StopTracingRequest := true
   default TtyWinResizeRequest := true
   default UpdateContainerRequest := true
   default UpdateEphemeralMountsRequest := true
   default UpdateInterfaceRequest := true
   default UpdateRoutesRequest := true
   default WaitProcessRequest := true
   default WriteStreamRequest := true
   '''
   ```

   1

   Trustee IP アドレスとポートを指定します (例: https://192.168.122.22:32178)。

   2

   attestation agent の Base64 でエンコードされた TLS 証明書を指定します。これはテスト目的では必要ありませんが、実稼働システムには推奨されます。

   3

   Trustee config map で insecure_http = true を設定する場合は、kbs_cert 設定を削除します。

   4

   Trustee インスタンスの Base64 エンコードされた TLS 証明書を指定します。

   5

   オプション: カスタム Kata エージェントポリシーを指定できます。

4. 次のコマンドを実行して、initdata.toml ファイルをテキストファイル内の Base64 エンコードされた文字列に変換します。

   $ base64 -w0 initdata.toml > initdata.txt