OpenShift Pipelines の保護

手順

1. Kubernetes サービスアカウントの namespace と名前を設定します。

   $ export NAMESPACE=<namespace> 

   1

   
   $ export SERVICE_ACCOUNT_NAME=<service_account> 

   2

   Copy to Clipboard Toggle word wrap

   1

   サービスアカウントに関連付けられた namespace。

   2

   サービスアカウントの名前

2. Kubernetes シークレットを作成します。

   $ oc create secret registry-credentials \
     --from-file=.dockerconfigjson \ 

   1

   
     --type=kubernetes.io/dockerconfigjson \
     -n $NAMESPACE

   Copy to Clipboard Toggle word wrap

   1

   Docker 設定ファイルへのパスに置き換えます。デフォルトのパスは ~/.docker/config.json です。

3. サービスアカウントにシークレットへのアクセス権限を付与します。

   $ oc patch serviceaccount $SERVICE_ACCOUNT_NAME \
     -p "{\"imagePullSecrets\": [{\"name\": \"registry-credentials\"}]}" -n $NAMESPACE

   Copy to Clipboard Toggle word wrap

   Red Hat OpenShift Pipelines がすべてのタスク実行に割り当てるデフォルトの pipeline サービスアカウントにパッチを適用すると、Red Hat OpenShift Pipelines Operator はサービスアカウントをオーバーライドします。ベストプラクティスとして、次の手順を実行できます。

   1. ユーザーのタスク実行に割り当てる別のサービスアカウントを作成します。

      $ oc create serviceaccount <service_account_name>

      Copy to Clipboard Toggle word wrap

   2. タスク実行テンプレートの serviceaccountname フィールドの値を設定して、サービスアカウントをタスク実行に関連付けます。

      apiVersion: tekton.dev/v1
      kind: TaskRun
      metadata:
        name: build-push-task-run-2
      spec:
        taskRunTemplate:
          serviceAccountName: build-bot 

      1

      
        taskRef:
          name: build-push
      ...

      Copy to Clipboard Toggle word wrap

      1

      新しく作成したサービスアカウントの名前に置き換えます。

手順

1. 暗号化された x509 または cosign キーペアを生成します。キーペアの作成とそれをシークレットとして保存する方法の詳細は、「Tekton Chains でデータを署名するためのシークレット」を参照してください。

2. Tekton Chains 設定で、OCI ストレージを無効にし、タスク実行ストレージとフォーマットを tekton に設定します。TektonConfig カスタムリソースで次の値を設定します。

   apiVersion: operator.tekton.dev/v1alpha1
   kind: TektonConfig
   metadata:
     name: config
   spec:
   # ...
       chain:
         artifacts.oci.storage: ""
         artifacts.taskrun.format: tekton
         artifacts.taskrun.storage: tekton
   # ...

   Copy to Clipboard Toggle word wrap

   TektonConfig カスタムリソースを使用した Tekton チェーンの設定の詳細は、「Tekton チェーンの設定」を参照してください。

3. Tekton Chains コントローラーを再起動して、変更した設定が確実に適用されるようにするには、次のコマンドを入力します。

   $ oc delete po -n openshift-pipelines -l app=tekton-chains-controller

   Copy to Clipboard Toggle word wrap

4. 次のコマンドを入力してタスク実行を作成します。

   $ oc create -f https://raw.githubusercontent.com/tektoncd/chains/main/examples/taskruns/task-output-image.yaml 

   1

   Copy to Clipboard Toggle word wrap

   1

   サンプル URI を、タスクの実行を指す URI またはファイルパスに置き換えます。

   出力例

   taskrun.tekton.dev/build-push-run-output-image-qbjvh created

   Copy to Clipboard Toggle word wrap

5. 次のコマンドを入力して、ステップのステータスを確認します。プロセスが完了するまで待ちます。

   $ tkn tr describe --last

   Copy to Clipboard Toggle word wrap

   出力例

   [...truncated output...]
   NAME                            STATUS
   ∙ create-dir-builtimage-9467f   Completed
   ∙ git-source-sourcerepo-p2sk8   Completed
   ∙ build-and-push                Completed
   ∙ echo                          Completed
   ∙ image-digest-exporter-xlkn7   Completed

   Copy to Clipboard Toggle word wrap

6. Base64 でエンコードされたアノテーションとして保存されたオブジェクトから署名を取得するには、次のコマンドを入力します。

   $ tkn tr describe --last -o jsonpath="{.metadata.annotations.chains\.tekton\.dev/signature-taskrun-$TASKRUN_UID}" | base64 -d > sig

   Copy to Clipboard Toggle word wrap

   $ export TASKRUN_UID=$(tkn tr describe --last -o  jsonpath='{.metadata.uid}')

   Copy to Clipboard Toggle word wrap
7. 作成した公開鍵を使用して署名を検証するには、次のコマンドを入力します。

手順

1. 暗号化された x509 または cosign キーペアを生成します。キーペアの作成とそれをシークレットとして保存する方法の詳細は、「Tekton Chains でデータを署名するためのシークレット」を参照してください。

2. イメージレジストリーの認証を設定します。

   1. 署名を OCI レジストリーにプッシュするように Tekton Chains コントローラーを設定するには、タスク実行のサービスアカウントに関連付けられた認証情報を使用します。詳細は、「OCI レジストリーへの認証」を参照してください。

   2. イメージをビルドしてレジストリーにプッシュする Kaniko タスクの認証を設定するには、必要な認証情報を含む docker config.json ファイルの Kubernetes シークレットを作成します。

      $ oc create secret generic <docker_config_secret_name> \ 

      1

      
        --from-file <path_to_config.json> 

      2

      Copy to Clipboard Toggle word wrap

      1

      docker 設定シークレットの名前に置き換えます。

      2

      docker config.json ファイルへのパスに置き換えます。

3. Tekton Chains を設定するには、chains-config オブジェクトで artifacts.taskrun.format、artifacts.taskrun.storage、transparency.enabled パラメーターを設定します。

   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"artifacts.taskrun.format": "in-toto"}}'
   
   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"artifacts.taskrun.storage": "oci"}}'
   
   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"transparency.enabled": "true"}}'

   Copy to Clipboard Toggle word wrap

4. Kaniko タスクを開始します。

   1. Kaniko タスクをクラスターに適用します。

      $ oc apply -f examples/kaniko/kaniko.yaml 

      1

      Copy to Clipboard Toggle word wrap

      1

      Kaniko タスクへの URI またはファイルパスに置き換えます。

   2. 適切な環境変数を設定します。

      $ export REGISTRY=<url_of_registry> 

      1

      
      
      $ export DOCKERCONFIG_SECRET_NAME=<name_of_the_secret_in_docker_config_json> 

      2

      Copy to Clipboard Toggle word wrap

      1

      イメージをプッシュするレジストリーの URL に置き換えます。

      2

      docker config.json ファイルのシークレットの名前に置き換えます。

   3. Kaniko タスクを開始します。

      $ tkn task start --param IMAGE=$REGISTRY/kaniko-chains --use-param-defaults --workspace name=source,emptyDir="" --workspace name=dockerconfig,secret=$DOCKERCONFIG_SECRET_NAME kaniko-chains

      Copy to Clipboard Toggle word wrap

      すべての手順が完了するまで、このタスクのログを確認してください。認証が成功すると、最終的なイメージが $REGISTRY/kaniko-chains にプッシュされます。

5. Tekton Chains が証明書を生成して署名するまで 1 分ほど待ち、タスク実行時に chains.tekton.dev/signed=true アノテーションが利用可能か確認します。

   $ oc get tr <task_run_name> \ 

   1

   
   -o json | jq -r .metadata.annotations
   
   {
     "chains.tekton.dev/signed": "true",
     ...
   }

   Copy to Clipboard Toggle word wrap

   1

   タスク実行の名前に置き換えます。

6. イメージとアテステーションを確認します。

   $ cosign verify --key cosign.pub $REGISTRY/kaniko-chains
   
   $ cosign verify-attestation --key cosign.pub $REGISTRY/kaniko-chains

   Copy to Clipboard Toggle word wrap

7. Rekor でイメージの証明書を見つけます。

   1. $ REGISTRY/kaniko-chains イメージのダイジェストを取得します。タスクの実行中に検索するか、イメージをプルしてダイジェストをデプロイメントできます。

   2. Rekor を検索して、イメージの sha256 ダイジェストに一致するすべてのエントリーを見つけます。

      $ rekor-cli search --sha <image_digest> 

      1

      
      
      <uuid_1> 

      2

      
      <uuid_2> 

      3

      
      ...

      Copy to Clipboard Toggle word wrap

      1

      イメージの sha256 ダイジェストに置き換えます。

      2

      最初に一致するユニバーサル一意識別子 (UUID)。

      3

      2 番目に一致する UUID。

      検索結果には、一致するエントリーの UUID が表示されます。それらの UUID の 1 つが証明書を保持します。

   3. アテステーションを確認してください。

      $ rekor-cli get --uuid <uuid> --format json | jq -r .Attestation | base64 --decode | jq

      Copy to Clipboard Toggle word wrap

手順

1. 開発者 または 管理者 のパースペクティブで、脆弱性を視覚的に表現する関連プロジェクトに切り替えます。

2. 既存の脆弱性スキャンタスクを更新して、出力が .json ファイルに保存され、次の形式で脆弱性の概要が抽出されるようにします。

   # The format to extract vulnerability summary (adjust the jq command for different JSON structures).
   jq -rce \
       '{vulnerabilities:{
         critical: (.result.summary.CRITICAL),
         high: (.result.summary.IMPORTANT),
         medium: (.result.summary.MODERATE),
         low: (.result.summary.LOW)
         }}' scan_output.json | tee $(results.SCAN_OUTPUT.path)

   Copy to Clipboard Toggle word wrap
   注記

   異なる JSON 構造に合わせて jq コマンドを調整する必要がある場合があります。

   1. (オプション) 脆弱性スキャンタスクがない場合は、次の形式で作成します。

      Roxctl を使用した脆弱性スキャンタスクの例

      apiVersion: tekton.dev/v1
      kind: Task
      metadata:
        name: vulnerability-scan  

      1

      
        annotations:
          task.output.location: results  

      2

      
          task.results.format: application/json
          task.results.key: SCAN_OUTPUT  

      3

      
      spec:
        params:
          - description: Image to be scanned
            name: image
            type: string
        results:
          - description: CVE result format  

      4

      
            name: SCAN_OUTPUT
        steps:
          - name: roxctl
            image: 'quay.io/lrangine/crda-maven:11.0'  

      5

      
            env:
              - name: ROX_CENTRAL_ENDPOINT
                valueFrom:
                  secretKeyRef:
                    key: rox_central_endpoint    

      6

      
                    name: roxsecrets
              - name: ROX_API_TOKEN
                valueFrom:
                  secretKeyRef:
                    key: rox_api_token   

      7

      
                    name: roxsecrets
      
            name: roxctl-scan
            script: | 

      8

      
              #!/bin/sh
              curl -k -L -H "Authorization: Bearer $ROX_API_TOKEN" https://$ROX_CENTRAL_ENDPOINT/api/cli/download/roxctl-linux --output ./roxctl
              chmod +x ./roxctl
              ./roxctl image scan --insecure-skip-tls-verify -e $ROX_CENTRAL_ENDPOINT --image $(params.image) --output json  > roxctl_output.json
              jq -rce \
              "{vulnerabilities:{
              critical: (.result.summary.CRITICAL),
              high: (.result.summary.IMPORTANT),
              medium: (.result.summary.MODERATE),
              low: (.result.summary.LOW)
              }}" roxctl_output.json | tee $(results.SCAN_OUTPUT.path)

      Copy to Clipboard Toggle word wrap

      1

      タスクの名前。

      2

      タスク出力を保存する場所。

      3

      スキャンタスク結果の命名規則。有効な命名規則は、SCAN_OUTPUT 文字列で終わる必要があります。たとえば、SCAN_OUTPUT、MY_CUSTOM_SCAN_OUTPUT、ACS_SCAN_OUTPUT などです。

      4

      結果の説明。

      5

      スキャンツールを実行するコンテナーイメージの場所です。

      6

      Advanced Cluster Security for Kubernetes (ACS) から取得した rox_central_endpoint キー。

      7

      ACS から取得した rox_api_token。

      8

      シェルスクリプトは脆弱性スキャンを実行し、タスク実行結果にスキャン出力を設定します。

   注記

   これは設定例です。結果を必要とされる形式で設定するには、特定のスキャンツールに合わせて値を変更します。

3. 適切なパイプラインを更新して、次の形式で脆弱性の仕様を追加します。

   ...
   spec:
     results:
       - description: The common vulnerabilities and exposures (CVE) result
         name: SCAN_OUTPUT
         value: $(tasks.vulnerability-scan.results.SCAN_OUTPUT)

   Copy to Clipboard Toggle word wrap

手順

1. 開発者 または 管理者 のパースペクティブで、SBOM を視覚的に表現する関連プロジェクトに切り替えます。

2. SBOM 情報を表示またはダウンロードするには、次の形式でタスクを追加します。

   SBOM タスクの例

   apiVersion: tekton.dev/v1
   kind: Task
   metadata:
     name: sbom-task 

   1

   
     annotations:
       task.output.location: results  

   2

   
       task.results.format: application/text
       task.results.key: LINK_TO_SBOM  

   3

   
       task.results.type: external-link  

   4

   
   spec:
     results:
       - description: Contains the SBOM link  

   5

   
         name: LINK_TO_SBOM
     steps:
       - name: print-sbom-results
         image: quay.io/image  

   6

   
         script: | 

   7

   
           #!/bin/sh
           syft version
           syft quay.io/<username>/quarkus-demo:v2 --output cyclonedx-json=sbom-image.json
           echo 'BEGIN SBOM'
           cat sbom-image.json
           echo 'END SBOM'
           echo 'quay.io/user/workloads/<namespace>/node-express/node-express:build-8e536-1692702836' | tee $(results.LINK_TO_SBOM.path) 

   8

   Copy to Clipboard Toggle word wrap

   1

   タスクの名前。

   2

   タスク出力を保存する場所。

   3

   SBOM タスク結果名。SBOM 結果タスクの名前を変更しないでください。

   4

   (オプション) SBOM を新しいタブで開くように設定します。

   5

   結果の説明。

   6

   SBOM を生成するイメージ。

   7

   SBOM イメージを生成するスクリプト。

   8

   SBOM イメージとパス名。

3. 新しく作成された SBOM タスクを参照するようにパイプラインを更新します。

   ...
   spec:
     tasks:
       - name: sbom-task
         taskRef:
           name: sbom-task 

   1

   
     results:
       - name: IMAGE_URL  

   2

   
         description: url
         value: <oci_image_registry_url> 

   3

   Copy to Clipboard Toggle word wrap

   1

   手順 2 で作成した名前と同じ名前。

   2

   結果の名前。

   3

   .sbom イメージを含む OCI イメージリポジトリー URL。

4. 影響を受ける OpenShift Pipeline を再実行します。

手順

1. fsGroup.type パラメーターを RunAsAny に設定してカスタム SCC を定義します。

   例: カスタム SCC

   apiVersion: security.openshift.io/v1
   kind: SecurityContextConstraints
   metadata:
     annotations:
       kubernetes.io/description: my-scc is a close replica of anyuid scc. pipelines-scc has fsGroup - RunAsAny.
     name: my-scc
   allowHostDirVolumePlugin: false
   allowHostIPC: false
   allowHostNetwork: false
   allowHostPID: false
   allowHostPorts: false
   allowPrivilegeEscalation: true
   allowPrivilegedContainer: false
   allowedCapabilities: null
   defaultAddCapabilities: null
   fsGroup:
     type: RunAsAny
   groups:
   - system:cluster-admins
   priority: 10
   readOnlyRootFilesystem: false
   requiredDropCapabilities:
   - MKNOD
   runAsUser:
     type: RunAsAny
   seLinuxContext:
     type: MustRunAs
   supplementalGroups:
     type: RunAsAny
   volumes:
   - configMap
   - downwardAPI
   - emptyDir
   - persistentVolumeClaim
   - projected
   - secret

   Copy to Clipboard Toggle word wrap

2. カスタム SCC を作成します。

   例: my-scc SCC の作成

   $ oc create -f my-scc.yaml

   Copy to Clipboard Toggle word wrap

3. カスタムサービスアカウントを作成します。

   例: fsgroup-runasany サービスアカウントの作成

   $ oc create serviceaccount fsgroup-runasany

   Copy to Clipboard Toggle word wrap

4. カスタム SCC をカスタムサービスアカウントに関連付けます。

   例: my-scc SCC を fsgroup-runasany サービスアカウントに関連付けます。

   $ oc adm policy add-scc-to-user my-scc -z fsgroup-runasany

   Copy to Clipboard Toggle word wrap

   特権付きタスクにカスタムサービスアカウントを使用する必要がある場合は、以下のコマンドを実行して privileged SCC をカスタムサービスアカウントに関連付けることができます。

   例: fsgroup-runasany サービスアカウントを使用した privileged SCC の関連付け

   $ oc adm policy add-scc-to-user privileged -z fsgroup-runasany

   Copy to Clipboard Toggle word wrap

5. パイプライン実行およびタスク実行でカスタムサービスアカウントを使用します。

   例: fsgroup-runasany カスタムサービスアカウントを使用した Pipeline 実行 YAML

   apiVersion: tekton.dev/v1
   kind: PipelineRun
   metadata:
     name: <pipeline-run-name>
   spec:
     pipelineRef:
       name: <pipeline-cluster-task-name>
     taskRunTemplate:
       serviceAccountName: 'fsgroup-runasany'

   Copy to Clipboard Toggle word wrap

   例: fsgroup-runasany カスタムサービスアカウントを使用したタスク実行 YAML

   apiVersion: tekton.dev/v1
   kind: TaskRun
   metadata:
     name: <task-run-name>
   spec:
     taskRef:
       name: <cluster-task-name>
     taskRunTemplate:
       serviceAccountName: 'fsgroup-runasany'

   Copy to Clipboard Toggle word wrap

手順

1. pipelines-tutorial リポジトリーで利用可能な YAML ファイルから TriggerBinding リソースを作成します。

   $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/master/03_triggers/01_binding.yaml

   Copy to Clipboard Toggle word wrap

2. pipelines-tutorial リポジトリーで利用可能な YAML ファイルから TriggerTemplate リソースを作成します。

   $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/master/03_triggers/02_template.yaml

   Copy to Clipboard Toggle word wrap

3. Trigger リソースを pipelines-tutorial リポジトリーから直接作成します。

   $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/master/03_triggers/03_trigger.yaml

   Copy to Clipboard Toggle word wrap

4. セキュアな HTTPS 接続を使用して EventListener リソースの作成します。

   1. ラベルを追加して、Eventlistener リソースへのセキュアな HTTPS 接続を有効にします。

      $ oc label namespace <ns-name> operator.tekton.dev/enable-annotation=enabled

      Copy to Clipboard Toggle word wrap

   2. pipelines-tutorial リポジトリーで利用可能な YAML ファイルから EventListener リソースを作成します。

      $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/master/03_triggers/04_event_listener.yaml

      Copy to Clipboard Toggle word wrap

   3. 再暗号化 TLS 終端でルートを作成します。

      $ oc create route reencrypt --service=<svc-name> --cert=tls.crt --key=tls.key --ca-cert=ca.crt --hostname=<hostname>

      Copy to Clipboard Toggle word wrap