第5章 コンテナーイメージのアテストと検証

手順

1. SLSA 来歴ファイル predicate.json を作成します。以下に例を示します。

   echo '{
    "builder": {
      "id": "https://localhost/dummy-id"
    },
    "buildType": "https://localhost/dummy-type",
    "invocation": {},
    "buildConfig": {},
    "metadata": {
      "buildStartedOn": "2023-09-25T16:26:44Z",
      "buildFinishedOn": "2023-09-25T16:28:59Z",
      "completeness": {
        "parameters": false,
        "environment": false,
        "materials": false
      },
      "reproducible": false
    },
    "materials": []
   }
   ' > predicate.json

   Copy to Clipboard

2. 作成した predicate.json ファイルに署名してアテストします。以下に例を示します。

   cosign attest -y --fulcio-url=$FULCIO_URL \
      --rekor-url=$REKOR_URL \
      --oidc-issuer=$OIDC_ISSUER_URL \
      --predicate predicate.json \
      --type slsaprovenance $IMAGE

   Copy to Clipboard

   Keycloak が開き、コンテナーイメージに署名したときのログインに基づいて自動的に認証されます。

3. Enterprise Contract を使用して署名とアテステーションを検証します。以下に例を示します。

   ec validate image --image $IMAGE \
      --certificate-identity-regexp '.*' \
      --certificate-oidc-issuer-regexp '.*' \
      --output yaml --show-successes

   Copy to Clipboard