第3章 ポリシーの作成

手順

1. 次の例のように、新しいポリシールールを定義する Rego ファイルを作成します。

   Copy to Clipboard Toggle word wrap

   echo 'package zero_to_hero
   
   import future.keywords.contains
   import future.keywords.if
   import future.keywords.in
   
   
   # METADATA 

   1

   
   # title: Builder ID
   # description: Verify the SLSA Provenance has the builder.id set to
   #   the expected value.
   # custom:
   #   short_name: builder_id 

   2

   
   #   failure_msg: The builder ID %q is not the expected %q
   #   solution: >-
   #     Ensure the correct build system was used to build the container
   #     image.
   deny contains result if {
   	some attestation in input.attestations 

   3

   
   	attestation.statement.predicateType == "https://slsa.dev/provenance/v0.2"
   
   	expected := "https://localhost/dummy-id"
   	got := attestation.statement.predicate.builder.id
   
   	expected != got
   
   	result := {
   		"code": "zero_to_hero.builder_id",
   		"msg": sprintf("The builder ID %q is not expected, %q", [got, expected])
   	}
   }
   ' > rules.rego

   1

   METADATA コメントブロック (先頭にハッシュタグ (#) が付く最初の 10 行のコード) は、rego がルールアノテーションを指定する方法です。これにより、Enterprise Contract はこれらのアノテーションの詳細を成功と違反のレポートに含めることができます。rego のメタデータとアノテーションの詳細は、Metadata を参照してください。Enterprise Contract のポリシールールに含める必要があるアノテーションの詳細は、Rule annotations を参照してください。

   2

   この 1 つのポリシールールは、新しいポリシールールの builder.id が、Supply-chain Levels for Software Artifacts (SLSA) の来歴の builder.id と一致することを確認します。

   3

   input.attestations は、コンテナーイメージ、その署名、およびそのアテステーションに関するすべての情報が含まれる rego オブジェクトです。Enterprise Contract が input.attestations の内容をどこでどのように定義するかの詳細は、ポリシー入力 を参照してください。

   ヒント

   input.attestations オブジェクトを JSON ファイルに保存すると、新しいポリシールールを指定するときにそのオブジェクトを借用できます。input.attestations を JSON ファイルとして保存するには、次の例のようなコマンドを実行します。

   Copy to Clipboard Toggle word wrap

   ec validate image --public-key cosign.pub --image "$REPOSITORY:latest" --policy policy.yaml \
       --show-successes --info --output yaml

2. 次の例のように、新しいポリシールールを使用するポリシー設定を作成します。

   Copy to Clipboard Toggle word wrap

   echo "
   ---
   sources:
     - policy:
         - $(pwd)/rules.rego
   " > policy.yaml

3. 次の例のように、新しいポリシーを使用してコンテナーイメージを検証し、成功と違反のレポートに追加情報を表示します。

   Copy to Clipboard Toggle word wrap

   ec validate image --public-key cosign.pub --image "$REPOSITORY:latest" --policy policy.yaml \
       --show-successes --info --output yaml