Conforma によるコンプライアンス管理

手順

1. 次の例のように、コマンドラインでポリシーを JSON または YAML 文字列として設定します。

   $ ec validate image --policy '{
       "sources": [
           {
               "policy": ["oci::quay.io/enterprise-contract/ec-release-policy:latest"],
               "data": ["git::https://github.com/enterprise-contract/ec-policies//example/data"],
               "config": {"include": ["@minimal"]}
           }
       ]
   }' ...

   Copy to Clipboard Toggle word wrap

2. (オプション) 次の例のように、Conforma ポリシーから特定のルールパッケージを除外します。

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "exclude": [
             "attestation_task_bundle",
             "slsa_build_scripted_build"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   このコマンドにより、指定したパッケージ内のルールを除く全パッケージの全ルールが追加されます。

3. (オプション) 次の例のように、1 つのルールを除外します。

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "exclude": [
             "attestation_task_bundle.unacceptable_task_bundle"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   このコマンドにより、unacceptable_task_bundle ルールを除く attestation_task_bundle パッケージのすべてのルールが追加されます。

4. (オプション) 次の例のように、特定のパッケージのルールのみを追加します。

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "include": [
             "test",
             "java"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   このコマンドにより、指定したパッケージのルールのみが追加されます。

5. (オプション) 特定パッケージの一部のルールのみを追加します。つまり、次の例のように、include と exclude の両方を指定して、Conforma ポリシーに含めるルールのみを選択できます。

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "include": [
             ""*"",
             "attestation_task_bundle.unacceptable_task_bundle"
           ],
           "exclude": [
             "attestation_task_bundle.*"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   アスタリスク(*)

   アスタリスク (*) はワイルドカードとして機能し、すべてのパッケージにマッチします。部分的な名前とは一致しません。たとえば、s*" が、s で始まるすべてのパッケージに一致させるように指定することはできません。

   これらのコマンドにより、attestation_task_bundle パッケージの unacceptable_task_bundle ルール のみ を追加し、そのパッケージ内の他のルールをすべて除外することが指定されます。

6. (オプション) 次の例のように、特定のチェックを除外して、そのチェックが失敗した場合や完了しなかった場合でも、Conforma がコンテナーイメージを検証できるようにします。

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "exclude": [
             "test:get-clair-scan",
             "test:clamav-scan"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   このコマンドは、特定されたチェックのいずれかが失敗した場合、または完了しない場合でも、Conforma がコンテナーイメージの妥当性を検証できることを指定します。

7. (オプション) config.policy.include コマンドまたは config.policy.exclude コマンドのいずれかを文字列のリストとともに実行して、パッケージ内のルールのデフォルト設定を変更します。

   文字列のリストには、次のいずれかを含める必要があります。

   パッケージ名

   Available rule collections リストのパッケージから選択します。

   ルール名

   attestation_type.unknown_att_type のように、ドット(.)で区切られたパッケージとルールコードを入力し、ルール名を指定します。ルールコードは、アップストリームの Conforma ドキュメントの Attestation type の下に見つけることができます。

   パッケージ名：term

   ポリシールールによっては、アイテムのリストを処理します。"パッケージ名" 文字列に "項目" を付加すると、そのリストから特定の項目を除外または追加できます。これは "パッケージ名" と同様に機能しますが、その項目にマッチするパッケージ内のポリシールールにのみ適用される点が異なります。たとえば、テストパッケージを実行する場合は、特定のテストケースを無視して、他のすべてのテストケースを追加することができます。

   rule name:term

   これは、パッケージに 項目 を追加または除外するのではなく、特定のパッケージ ポリシールール を含めるか除外できる点を除き、package name:term と似ています。

   @collection name

   これを文字列に追加して、事前定義されたルールのコレクションを指定します。コレクション名の前に @ 記号を付けます。利用可能なルールコレクションから選択します。

手順

1. 次のコマンドを実行して、キーペアを生成します。

   $ cosign generate-key-pair

   Copy to Clipboard Toggle word wrap
2. プロンプトが表示されたら、キーペアの新しいパスワードを入力します。パスワードは覚えやすく強力なものにしてください。

手順

1. OCP クラスターから ec バイナリー ファイルをダウンロードします。

   1. OpenShift Container Platform Web コンソールにログインします。ホームページから、右上の ? アイコンをクリックし、Command Line Tools を選択します。
   2. ec download セクションから、プラットフォームのリンクをクリックします。
   3. 端末を開きます。

   4. 次のコマンドを実行して、.gz ファイルを解凍します。

      $ gunzip ec-amd64.gz

      Copy to Clipboard Toggle word wrap

   5. 次のコマンドを実行して、ec バイナリーファイルを実行可能にします。

      $ chmod +x ec-amd64

      Copy to Clipboard Toggle word wrap

   6. ec バイナリーファイルを $PATH 環境のディレクトリーに移動します。以下に例を示します。

      $ sudo mv ec-amd64 /usr/local/bin/ec

      Copy to Clipboard Toggle word wrap
      ヒント

      他のイメージ検証コマンドオプションをすべて確認するには、ec validate image --help コマンドを実行します。

2. コンテナーイメージの署名および検証用にシェル環境を設定します。

   1. 次のコマンドを実行して、sigstore-ocp ディレクトリーに移動します。

      $ cd sigstore-ocp

      Copy to Clipboard Toggle word wrap

   2. tas-env-variables.sh スクリプトを実行してシェルを設定します。

      $ source tas-env-variables.sh

      Copy to Clipboard Toggle word wrap

   3. (オプション) 環境変数を手動で設定します。

      export OPENSHIFT_APPS_SUBDOMAIN=apps.$(oc get dns cluster -o jsonpath='{ .spec.baseDomain }')
      export OIDC_AUTHENTICATION_REALM=sigstore
      export FULCIO_URL=https://fulcio.$OPENSHIFT_APPS_SUBDOMAIN
      export OIDC_ISSUER_URL=https://keycloak-keycloak-system.$OPENSHIFT_APPS_SUBDOMAIN/auth/realms/$OIDC_AUTHENTICATION_REALM
      export REKOR_URL=https://rekor.$OPENSHIFT_APPS_SUBDOMAIN
      export TUF_URL=https://tuf.$OPENSHIFT_APPS_SUBDOMAIN

      Copy to Clipboard Toggle word wrap

      $ source ./tas-env-vars.sh

      Copy to Clipboard Toggle word wrap

3. 次のコマンドを実行して、更新フレームワーク(TUF)システムを初期化します。

   $ cosign initialize --mirror=$TUF_URL --root=$TUF_URL/root.json

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを実行して、コンテナーイメージに署名します。

   $ cosign sign -y --fulcio-url=$FULCIO_URL --rekor-url=$REKOR_URL --oidc-issuer=$OIDC_ISSUER_URL IMAGE_NAME

   Copy to Clipboard Toggle word wrap

   以下に例を示します。

   $ cosign sign -y --fulcio-url=$FULCIO_URL \
     --rekor-url=$REKOR_URL \
     --oidc-issuer=$OIDC_ISSUER_URL example-hello-world@sha256:2788a47fd0ef1ece30898c1e608050ea71036d3329b9772dbb3d1f69313f745c

   Copy to Clipboard Toggle word wrap

   表示される Web ブラウザーで、メールアドレスを使用してコンテナーイメージに署名します。

5. predicate.json ファイルを作成します。

   {
     "builder": {
       "id": "https://localhost/dummy-id"
     },
     "buildType": "https://example.com/tekton-pipeline",
     "invocation": {},
     "buildConfig": {},
     "metadata": {
       "completeness": {
         "parameters": false,
         "environment": false,
         "materials": false
       },
       "reproducible": false
     },
     "materials": []
   }

   Copy to Clipboard Toggle word wrap

6. 以下のコマンドを実行して predicate.json ファイルをコンテナーイメージに関連付けます。

   $ cosign attest -y --predicate ./predicate.json \
     --type slsaprovenance IMAGE_NAME:TAG

   Copy to Clipboard Toggle word wrap

   以下に例を示します。

   $ cosign attest -y --predicate ./predicate.json \
     --type slsaprovenance example.io/hello-world:latest

   Copy to Clipboard Toggle word wrap

7. 次のコマンドを実行して、コンテナーイメージに少なくとも 1 つの証明書と署名があることを確認します。

   $ cosign tree IMAGE_NAME:TAG

   Copy to Clipboard Toggle word wrap

   以下に例を示します。

   $ cosign tree example.io/hello-world:latest
   📦 Supply Chain Security Related artifacts for an image: example.io/hello-world@sha256:7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35
   └── 💾 Attestations for an image tag: example.io/hello-world:sha256-7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35.att
      └── 🍒 sha256:40d94d96a6d3ab3d94b429881e1b470ae9a3cac55a3ec874051bdecd9da06c2e
   └── 🔐 Signatures for an image tag: example.io/hello-world:sha256-7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35.sig
      └── 🍒 sha256:f32171250715d4538aec33adc40fac2343f5092631d4fc2457e2116a489387b7

   Copy to Clipboard Toggle word wrap

8. 次のコマンドを実行して、Conforma を使用してコンテナーイメージを確認します。

   $ ec validate image --image IMAGE_NAME:TAG \
     --certificate-identity-regexp 'SIGNER_EMAIL_ADDR' \
     --certificate-oidc-issuer-regexp 'keycloak-keycloak-system' \
     --output yaml --show-successes

   Copy to Clipboard Toggle word wrap

   以下に例を示します。

   $ ec validate image --image example.io/hello-world:latest \
     --certificate-identity 'jdoe@example.com' \
     --certificate-oidc-issuer 'keycloak-keycloak-system' \
     --output yaml --show-successes

   Copy to Clipboard Toggle word wrap

   出力を使用してコンテナーイメージを確認します。

   success: true
   successes:
     - metadata:
         code: builtin.attestation.signature_check
       msg: Pass
     - metadata:
         code: builtin.attestation.syntax_check
       msg: Pass
     - metadata:
         code: builtin.image.signature_check
       msg: Pass
   ec-version: v0.1.2427-499ef12
   effective-time: "2024-01-21T19:57:51.338191Z"
   key: ""
   policy: {}
   success: true

   Copy to Clipboard Toggle word wrap

   Matcha は、セキュリティー違反の詳細を含む合格または失敗のレポートを生成します。--info フラグを追加すると、違反に関する詳細と考えられる解決策がレポートに追加されます。