Red Hat Trusted Application Pipeline のインストール

手順

1. GitHub にログインし、組織 (Settings > Organizations) に移動します。
2. お客様が所有し、RHTAP のこのインスタンスに使用する組織をクリックします。または、New organization を選択して新しい組織を作成することもできます。
3. 組織のコンテキストで、GitHub Apps ページ (Settings > Developer settings > GitHub Apps) に移動します。
4. ページの右側、上部のバナーの近くにある New GitHub App を選択します。
5. プロンプトが表示されたら、必要に応じて認証します。
6. GitHub App name フィールドに一意の名前を入力します。
7. Homepage URL フィールドにプレースホルダー値 (例: https://www.placeholder.com) を入力します。
8. Callback URL フィールドにプレースホルダー値を入力します。同じプレースホルダー値 (例: https://www.placeholder.com) を使用できます。
9. Webhook URL フィールドにプレースホルダー値を入力します。同じプレースホルダー値 (例: https://www.placeholder.com) を使用できます。また、Active チェックボックスがオンになっていることを確認します (GitHub ではデフォルトでオンになっているはずです)。

10. ローカルシステムに新しいファイルを作成します。このファイルには、インストールプロセスの後の手順で必要になるいくつかの値を保存します。このファイルに値を入力するときは、後で各値が何であるかを思い出せるように必ずラベルを付けてください。

    $ touch ~/install_values.txt

11. CLI でシークレットを生成し、ラベルを付けて ~/install_values.txt に保存します。

    1. OpenSSL をお持ちでない場合は、ダウンロード手順 に従ってください。

       $ openssl rand -hex 20 >> ~/install_values.txt

       重要

       このコマンドの出力を必ず保存してください。

12. GitHub の Webhook secret フィールドに、先ほどのコマンドの出力を入力します。

13. Repository permissions で、次の権限を設定します。

    1. Administration: Read and write
    2. Checks: Read and write
    3. Contents: Read and write
    4. Issues: Read and write
    5. Metadata: Read-only (すでに正しく設定されているはずですが、値を確認してください)
    6. Pull requests: Read and write

14. Organization permissions で、次の権限を設定します。

    1. Members: Read-only
    2. Plan: Read-only

15. Subscribe to events で、次のサブスクリプションを選択します。

    1. Check run
    2. Check suite
    3. Commit comment
    4. Issue comment
    5. Pull request
    6. Push
16. Where can this GitHub App be installed? で Any account を選択します。
17. Create GitHub App をクリックします。すると、Developer Settings ページが表示されます。

18. Client ID と Application ID を取得します。ラベルを付けて ~install_values.txt に保存します。

    重要

    次の 2 つの手順では、クライアントシークレットと秘密鍵を収集する方法を説明します。RHTAP のインストールプロセスを完了するには、クライアントシークレットと秘密鍵を保存し、アクセス可能な状態にしておく必要があります。

19. 新しいアプリケーションのページで、Client secrets の横にある Generate a new client secret を選択します。クライアントシークレットにラベルを付けて、~/install_values.txt に保存します。
20. GitHub の同じページの Private keys で、Generate a private key ボタンを選択します。秘密鍵を含む private-key ファイルがダウンロードされます。秘密鍵ファイルの内容にラベルを付けて、~/install_values.txt に保存します。秘密鍵は -----BEGIN RSA PRIVATE KEY----- で始まり、-----END RSA PRIVATE KEY----- で終わるようにする必要があります。
21. 引き続き GitHub の同じページで、左側のタブから Install App を選択します。
22. 組織名の横にある緑色の Install ボタンを使用します。
23. プロンプトが表示されたら、All repositories を選択して、RHTAP が組織内に新しいリポジトリーを作成できるようにします。緑色の Install ボタンをクリックします。

手順:

1. Web ブラウザーで、RHTAP ソフトウェアカタログリポジトリー に移動します。

2. ページのバナーの下にある Fork を選択し、リポジトリーをフォークします。

   1. Main ブランチのみをコピーするボックスのチェックを外します。

3. 新しいフォークのバナーの下にある main をクリックしてドロップダウンメニューを開きます。Tags の下で、使用している RHTAP のバージョンに対応するリリースを選択します。

   1. たとえば、RHTAP バージョン 1.0.0 を使用している場合は、このリリース のフォークされたインスタンスを使用する必要があります。

      注記

      フォークを時々更新して、アップストリームリポジトリーの更新を RHTAP のインスタンスで利用できるようにしてください。

手順:

1. Web ブラウザーで、GitHub の Developer Settings ページに移動します。
2. 左側のパネルの Personal access tokens で、Tokens (classic) を選択します。
3. ページバナーの下にある Generate new token ドロップダウンメニューから、Generate new token (classic) を選択します。続行するのに認証が必要な場合があります。
4. 名前を入力し、有効期限を選択して、Select scopes で repo を選択します (これにより、repo: status から security_events までのすべてのスコープが自動的に含まれるはずです)。
5. Generate token を選択します。GitHub で新しいページにリダイレクトされ、トークンが表示されます。このトークンにラベルを付けて、~/install_values.txt に保存してください。

手順:

1. Web ブラウザーで Quay.io にログインします。バナーの右側でユーザー名を選択し、ドロップダウンメニューから Account Settings を選択します。
2. ユーザー設定ページの Docker CLI Password で、Generate Encrypted Password を選択します。ポップアップウィンドウで、パスワードを入力して認証します。
3. 次に、ポップアップウィンドウで、Docker Configuration > View [username]-auth.json を選択します。"auth": の後の文字列を引用符なしでコピーします。

4. ~/install_values.txt ファイルで、Docker 設定値をラベルを付けて作成します。{"auths": {"quay.io/[username]": {"auth": "[auth token]","email": ""}}} という形式を使用し、適切な場所にユーザー名と認証トークンを使用します。

   注記

   RHTAP でビルドするイメージを、Quay 上のプライベートリポジトリーを使用してホストする予定の場合は、こちらのドキュメント の説明に従って、そのプライベートリポジトリーを Advanced Cluster Security に登録する必要があります。

手順:

1. Web ブラウザーで、GitHub の RHTAP インストーラーリポジトリー に移動します。
2. 緑色の <> CODE ボタンを選択します。Local タブで、クローン作成に使用する接続タイプ (HTTPS、SSH、または GitHub CLI) を選択し、指定された URL をコピーします。

3. 先ほどコピーした URL を使用してインストーラーを複製します。ただし、main ブランチをクローンしないでください。代わりに、release-XX の形式で最新の stable リリースをクローンします。

   1. たとえば、公開時点で SSH を使用して最新の stable リリースをクローンするには、CLI で次のコマンドを実行します。

      $ git clone -b release-1.0 git@github.com:redhat-appstudio/rhtap-installer.git

4. CLI で、RHTAP インストーラーリポジトリーのローカルクローンへ移動します。

   $ cd rhtap-installer

5. bin/make.sh スクリプトを実行します。

   $ bin/make.sh values

6. スクリプトにより、次の各フィールドに値を入力するように求められます。指示に従って、入力する値を決定します。任意のタイミングでスクリプトを停止する必要がある場合は、いつでも停止できます。bin/make.sh values コマンドを再実行するだけで、進行を再開できます。

   1. RHTAP_ENABLE_GITHUB: GitHub をアプリケーションの git リポジトリーとして使用する場合は y と入力します。

   2. RHTAP_ENABLE_GITLAB: GitLab をアプリケーションの git リポジトリーとして使用する場合は y と入力します。

      重要

      このドキュメントの公開時点では、GitLab を RHTAP の Git ホストとして設定する方法は説明していませんが、そのように設定することは可能です。Red Hat はそのプロセスを文書化する作業を進めています。GitLab を使用する場合は、この手順の最後に記載されているドキュメントを参照してください。

   3. RHTAP_ENABLE_DEVELOPER_HUB: y を入力します。
   4. RHTAP_ENABLE_TAS: Red Hat Trusted Artifact Signer を使用してソフトウェアサプライチェーンのセキュリティーを強化する場合は、y を入力します。
   5. RHTAP_ENABLE_TAS_FULCIO_OIDC_DEFAULT_VALUES: 上記の値を y に設定した場合は、y を入力します。
   6. RHTAP_ENABLE_TPA: Red Hat Trusted Profile Analyzer を使用してソフトウェアサプライチェーンのセキュリティーを強化する場合は、y を入力します。
   7. ACS__API_TOKEN: ACS インスタンスの API トークンを入力します。API トークンを作成するには、こちら の前提条件の手順に従ってください。
   8. ACS__CENTRAL_ENDPOINT: ACS インスタンスのエンドポイントを入力します。エンドポイントを設定するには、こちら の手順に従ってください。

   9. DEVELOPER_HUB__CATALOG__URL: 2 番目の手順で作成したフォーク内の all.yaml ファイルのアドレスを入力します。手順の最後に選択したタグが URL に含まれていることを確認してください。

      https://github.com/chr1st1an-org/tssc-sample-templates/blob/v1.0.0/all.yaml

   10. GITHUB__APP__ID: この値は ~/install_values.txt ファイル内にあるはずです。最初のインストール手順で保存したものです。
   11. GITHUB__APP__CLIENT__ID: この値は ~/install_values.txt ファイル内にあるはずです。最初のインストール手順で保存したものです。
   12. GITHUB__APP__CLIENT__SECRET: この値は ~/install_values.txt ファイル内にあるはずです。最初の手順で作成して保存したものです。
   13. GITHUB__APP__PRIVATE_KEY: この値は ~/install_values.txt ファイル内にあるはずです。最初の手順で作成して保存したものです。
   14. GITHUB__APP__WEBHOOK__SECRET: この値は ~/install_values.txt ファイル内にあるはずです。最初の手順で作成して保存したものです。
   15. GITOPS__GIT_TOKEN: この値は ~/install_values.txt ファイル内にあるはずです。3 番目の手順で作成して保存しました。
   16. QUAY__API_TOKEN: イメージリポジトリーがパブリックである場合は 'null' を使用します。それ以外の場合は、読み取りアクセス権を持つ API トークンを作成 し、その値を貼り付けます。
   17. QUAY__DOCKERCONFIGJSON: この値は ~/install_values.txt ファイル内にあるはずです。前の手順で作成して保存したものです。
   18. TAS__SECURESIGN__FULCIO__ORG_EMAIL: この新しい RHTAP インスタンスを所有する組織内の個人またはチームのメールアドレスを入力します。

   19. TAS__SECURESIGN__FULCIO__ORG_NAME: GitHub 組織の名前を入力します。

       注記

       残りの値はパスワードとシークレットです。特殊文字を含む既存のパスワードを使用することも、新しいパスワードを生成することもできます。bash スクリプトは入力したすべての値を保存するファイルを作成するため、これらの値を他の場所に保存する必要はありません。

   20. TPA__GUAC__PASSWORD: 自分とチームメンバーが TPA の GUAC に対して自身を認証するのに使用できる強力なパスワードを入力します。以前使用したのと同じ OpenSSL コマンドを使用して、Webhook シークレットを作成できます。

       $ openssl rand -hex 20

   21. TPA__KEYCLOAK__ADMIN_PASSWORD: 別の強力なパスワードを入力します。
   22. TPA__MINIO__ROOT_PASSWORD: 別の強力なパスワードを入力します。
   23. TPA__OIDC__TESTING_MANAGER_CLIENT_SECRET: セキュアなシークレットとして使用できる別の値を入力します。OpenSSL コマンドを使用してこの値を生成することもできます。
   24. TPA__OIDC__TESTING_USER_CLIENT_SECRET: セキュアなシークレットとして使用できる別の値を入力します。
   25. TPA__OIDC__WALKER_CLIENT_SECRET: セキュアなシークレットとして使用できる別の値を入力します。
   26. TPA__POSTGRES__POSTGRES_PASSWORD: 別の強力なパスワードを入力します。
   27. TPA__POSTGRES__TPA_PASSWORD: 別の強力なパスワードを入力します。
7. (オプション) bin/make.sh を実行した後、RHTAP がアプリケーションをデプロイするために使用する名前空間を変更できます。bin/make.sh を実行したのと同じコンテキストで、新しく生成された private-values.yaml ファイルを探します。そのファイルを開き、namespaces: の下にある他の名前空間を編集または追加します。現在、- rhtap-app が表示されているはずです。

8. (オプション) クラスター内に OpenShift GitOps または OpenShift Pipeline の既存のデプロイメントがある場合は、次の手順で RHTAP が試行するこれらの製品のデプロイメントをバイパスする必要があります。

   1. 任意のテキストエディターを使用して、インストーラーディレクトリーに新しく生成された private-values.yaml ファイルを開きます。
   2. すでにデプロイされている製品の場合は、YAML ファイル内の名前の下 (例: openshift-gitops) で、enabled: の値を false に設定します。
   3. OpenShift GitOps デプロイメントをバイパスする場合は、次の手順 に従って、Red Hat Trusted Application Pipeline インストール名前空間 (デフォルトでは rhtap) をサブスクリプションに追加します。

手順

1. CLI で、ClusterAdmin として OCP クラスターにアクセスします。

   $  oc login [cluster address] -u kubeadmin -p [password]

2. インストーラー Helm リポジトリーをローカルシステムに追加します。

   $ helm repo add openshift-helm-charts https://charts.openshift.io/

   1. 以前にこの Helm リポジトリーをすでに追加している場合は、Helm リポジトリーを更新してください。

      $ helm repo update

3. bin/make.sh を実行したディレクトリーで、インストールコマンドを実行します。インストールが完了するまでに 10 分以上かかる場合があります。

   $ helm upgrade installer openshift-helm-charts/redhat-trusted-application-pipeline --install --create-namespace --namespace rhtap --timeout 20m --values private-values.yaml

   注記

   --namespace の後に任意の名前空間を指定できます。rhtap を使用する必要はありません。

4. インストールが完了すると、インストーラーによって出力が提供されます。インストーラーによって生成される PipelineRun ファイルにラベルを付けて、~/install_values.txt に保存します。
5. PipelineRun 全体 (cat << EOF | kubectl create から EOF まで) をコピーしてコマンドラインに貼り付けます。Enter キーを押してこの PipelineRun を実行します。
6. PipelineRun が完了すると、リンクを含む出力が提供されます。OpenShift Web コンソールにまだログインしていない場合は、先にログインします。その後、PipelineRun の出力からリンクを開きます。

手順:

1. 前の手順の最終ステップで生成されたリンクを開くと、Administrator ビューで OpenShift コンソールが表示されるはずです。表示されない場合は、OpenShift コンソールに移動してクラスターを表示します。

   1. 左側のナビゲーションバーを使用して Pipelines > Pipelines に移動します。
   2. ページのバナーの下にある Project フィールドで、rhtap を選択します。
   3. PipelineRun タブを選択します。rhtap-pe-info- で始まる名前の PipelineRun を選択します。
   4. Logs タブに移動します。
2. 別のブラウザータブで、GitHub Apps ページ (Settings > Developer settings > GitHub Apps) に戻ります。
3. 新しいカスタムアプリケーションの横にある Edit をクリックします。

4. 次のフィールドのプレースホルダー値を、OpenShift コンソールで実行した PipelineRun のログにある新しい値に置き換えます。

   1. Homepage URL
   2. Callback URL
   3. Webhook URL
5. ページの一番下までスクロールして、Save をクリックします。
6. 別のタブで、GitHub アプリケーションの新しいホームページ URL として入力したアドレスに移動します。
7. SIGN IN ボタンをクリックして、サインイン方法として GitHub を選択します。
8. ポップアップウィンドウで、要求に従ってカスタム GitHub アプリケーションを許可します。