第13章イメージの署名の確認

Red Hat Advanced Cluster Security for Kubernetes (RHACS) を使用して、事前に設定されたキーに対してイメージ署名を検証することで、クラスター内のコンテナーイメージの整合性を確保できます。

署名されていないイメージや署名が確認されていないイメージをブロックするポリシーを作成できます。RHACS アドミッションコントローラーを使用してポリシーを適用し、無許可のデプロイメントの作成を停止することもできます。

注記

RHACS は、Cosign 署名と Cosign 公開鍵/証明書検証のみをサポートします。Cosign の詳細は、Cosign overview を参照してください。
Cosign 署名検証の場合、RHACS は透明性ログ Rekor との通信をサポートしていません。
署名検証には、少なくとも 1 つの Cosign 検証方法を使用して署名統合を設定する必要があります。
すべてのデプロイおよび監視されたイメージに対して以下を実行します。
- RHACS は署名を 4 時間ごとに取得および検証します。
- RHACS は、署名統合検証データを変更または更新するたびに署名を検証します。

13.1. 署名統合の設定

イメージ署名の検証を実行する前に、まず RHACS で署名統合を作成する必要があります。

署名統合は複数の検証方法で設定できます。次の検証方法がサポートされています。

前提条件

PEM でエンコードされた Cosign 公開鍵がすでに存在している必要があります。Cosign の詳細は、Cosign overview を参照してください。

手順

前提条件

証明書のアイデンティティーと発行者がある。オプションで、PEM でエンコードされた証明書とチェーンがある。Cosign 証明書の詳細は、Cosign 証明書の検証を参照してください。

手順

RHACS ポータルで、Platform Configuration Integrations を選択します。
Signature Integrations までスクロールし、Signature をクリックします。
New integration をクリックします。
Integration name の名前を入力します。
Cosign certificates Add a new certificate verification をクリックします。
Certificate OIDC Issuer を入力します。RE2 構文ではオプションで正規表現を使用できます。
Certificate identity を入力します。RE2 構文ではオプションで正規表現を使用できます。
(オプション) 証明書を検証するために Certificate Chain PEM encoded を入力します。チェーンが提供されていない場合、証明書は Fulcio ルートに対して検証されます。
(オプション) 署名を検証するために PEM でエンコードされた証明書 を入力します。
(オプション) Add a new certificate verification をクリックして詳細を入力すると、複数の証明書検証を追加できます。
Save をクリックします。