第5章 コンテナーイメージのアテストと検証

手順

1. SLSA の出所 predicate.json ファイルを作成します。以下に例を示します。

   echo '{
    "builder": {
      "id": "https://localhost/dummy-id"
    },
    "buildType": "https://localhost/dummy-type",
    "invocation": {},
    "buildConfig": {},
    "metadata": {
      "buildStartedOn": "2023-09-25T16:26:44Z",
      "buildFinishedOn": "2023-09-25T16:28:59Z",
      "completeness": {
        "parameters": false,
        "environment": false,
        "materials": false
      },
      "reproducible": false
    },
    "materials": []
   }
   ' > predicate.json

   Copy to Clipboard Toggle word wrap

2. 以下のコマンドを実行して、作成した predicate.json ファイルに署名してテストします。

   $ cosign attest -y --fulcio-url=$FULCIO_URL \
      --rekor-url=$REKOR_URL \
      --oidc-issuer=$OIDC_ISSUER_URL \
      --predicate predicate.json \
      --type slsaprovenance $IMAGE

   Copy to Clipboard Toggle word wrap

   Keycloak が開き、コンテナーイメージに署名したときにログインに基づいてユーザーを自動的に認証します。

3. 次のコマンドを実行して、署名と Conforma による署名と認証を確認します。

   $ ec validate image --image $IMAGE \
      --certificate-identity-regexp '.*' \
      --certificate-oidc-issuer-regexp '.*' \
      --output yaml --show-successes

   Copy to Clipboard Toggle word wrap
   重要

   ec validate image コマンドを実行するときは、各署名が期待される identity と一致するように、できるだけ詳細に指定してください。