1.3. Tekton Chains でデータに署名するための秘密

手順

1. 次のコマンドを実行して、TektonConfig CR を編集します。

   $ oc edit TektonConfig config

2. TektonConfig CR で、generateSigningSecret の値を true に設定します。

   TektonConfig CR を使用して ecdsa キーペアを作成する例

   apiVersion: operator.tekton.dev/v1
   kind: TektonConfig
   metadata:
     name: config
   spec:
   # ...
     chain:
       disabled: false
       generateSigningSecret: true 1
   # ...

   1

   デフォルト値は false です。値を true に設定すると、ecdsa キーペアが生成されます。

手順

1. 次のコマンドを実行して、cosign.key と cosign.pub キーのペアを生成します。

   $ cosign generate-key-pair k8s://openshift-pipelines/signing-secrets

   Cosign はパスワードの入力を求め、Kubernetes シークレットを作成します。

2. 暗号化された cosign.key 秘密鍵と cosign.password 復号化パスワードを、signing-secrets Kubernetes シークレットに保存します。秘密鍵が ENCRYPTED COSIGN PRIVATE KEY 型の暗号化された PEM ファイルとして保存されていることを確認します。

手順

1. 次のコマンドを実行して、公開鍵と秘密鍵のペアを生成します。

   $ skopeo generate-sigstore-key --output-prefix <mykey> 1

   1

   <mykey> を選択した鍵名に置き換えます。

   Skopeo は秘密鍵のパスフレーズの入力を求め、<mykey>.private および <mykey>.pub という名前の鍵ファイルを作成します。

2. 次のコマンドを実行し、base64 ツールを使用して <mykey>.pub ファイルをエンコードします。

   $ base64 -w 0 <mykey>.pub > b64.pub

3. 次のコマンドを実行し、base64 ツールを使用して <mykey>.private ファイルをエンコードします。

   $ base64 -w 0 <mykey>.private > b64.private

4. 次のコマンドを実行し、base64 ツールを使用してパスフレーズをエンコードします。

   $ echo -n '<passphrase>' | base64 -w 0 > b64.passphrase 1

   1

   <passphrase> を鍵ペアに使用したパスフレーズに置き換えます。

5. 次のコマンドを実行して、openshift-pipelines namespace に signing-secrets シークレットを作成します。

   $ oc create secret generic signing-secrets -n openshift-pipelines

6. 以下のコマンドを実行して signing-secrets シークレットを編集します。

   $ oc edit secret -n openshift-pipelines signing-secrets

   次の方法で、エンコードされた鍵をシークレットのデータに追加します。

   apiVersion: v1
   data:
     cosign.key: <Encoded <mykey>.private> 1
     cosign.password: <Encoded passphrase> 2
     cosign.pub: <Encoded <mykey>.pub> 3
   immutable: true
   kind: Secret
   metadata:
     name: signing-secrets
   # ...
   type: Opaque

   1

   <Encoded <mykey>.private> を b64.private ファイルの内容に置き換えます。

   2

   <Encoded passphrase> を b64.passphrase ファイルの内容に置き換えます。

   3

   <Encoded <mykey>.pub> を b64.pub ファイルの内容に置き換えます。

手順

1. 次のコマンドを実行して、signing-secret シークレットを削除します。

   $ oc delete secret signing-secrets -n openshift-pipelines

2. 鍵ペアを再作成し、任意の署名スキームを使用してシークレットに保存します。