Red Hat Trusted Application Pipeline のスタートガイド

• Red Hat Trusted Artifact Signer は、署名およびアテステーションメカニズムを通じてソフトウェアインテグリティーを強化することに重点を置いています。RHTAS は、すべてのコードとアーティファクトが署名およびアテストされていることを確認することで、使用されているソフトウェアコンポーネントの信頼性とセキュリティーを確認する検証可能な信頼チェーンを実現します。

• Red Hat Trusted Profile Analyzer は、Software Bills of Materials (SBOM) の生成と管理を扱います。SBOM は、ソフトウェア製品に含まれるすべてのコンポーネント、ライブラリー、依存関係の詳細なリストを提供するため、透明性とコンプライアンスを維持する上で非常に重要です。RHTPA は、SBOM の作成を自動化し、ソフトウェアの構成に関する正確で最新の情報をステークホルダーに提供します。

• Red Hat Advanced Cluster Security は、アーティファクトの脆弱性をスキャンし、デプロイメントを強化します。このような事前対応のアプローチにより、開発プロセスの早い段階でセキュリティーの問題を特定して軽減し、アプリケーションが開始からデプロイメントまで確実に強化されます。

• Red Hat Developer Hub は、開発者向けのセルフサービスポータルです。オンボーディングプロセスを効率化し、セキュアなソフトウェア開発に必要な豊富なリソースとツールへのアクセスを提供します。このプラットフォームは、ベストプラクティスを推奨し、開発プロセスの最初からセキュリティー対策を組み込むことを容易にします。

• Quay は、コンテナーイメージ用のセキュアなリポジトリーを提供します。これはコンテナー化されたアプリケーションを信頼して保管できる場所として機能し、脆弱性を継続的にスキャンして、ライフサイクル全体を通じてイメージの安全性を確保します。

• OpenShift GitOps は、Git リポジトリーを使用して Kubernetes のデプロイメントとそのインフラストラクチャーを管理します。OpenShift GitOps は、インフラストラクチャーとアプリケーションの設定を Git で維持することで、一貫性のある自動化されたデプロイメントプラクティスを保証し、手動によるエラーを減らし、デプロイメントの効率を高めます。

• OpenShift Pipelines は、ソフトウェアの継続的インテグレーションおよび継続的デリバリー (CI/CD) を自動化し、可視性を提供します。OpenShift Pipelines は、ビルド、テスト、およびデプロイメントのプロセスを自動化することで、合理化および効率化されたワークフローを保証し、高品質の基準を維持しながら実稼働までのプロセスを加速します。

• 脆弱性のスキャン: RHTAP は、各プルリクエストごとに、指定の CVE スキャナー (Advanced Cluster Security など) を使用して徹底的なスキャンを実行し、可能な限り早い段階で脆弱性を特定して対処します。
• SBOM の生成: RHTAP の SBOM 自動生成は、ソフトウェアの透明性とコンプライアンスを維持する上で重要な役割を果たします。組織は、ソフトウェアコンポーネントの包括的なインベントリーを提供することで、ソフトウェアサプライチェーンをより適切に管理して保護することができます。
• コンテナーイメージのセキュリティー: RHTAP は、コンテナーイメージが SLSA (Supply-chain Levels for Software Artifacts) ガイドラインに準拠していることを検証します。これは、41 を超えるルールを含む Enterprise Contract により実行されます。これにより、開発プロセスで使用されるコンテナーイメージを厳格なセキュリティー標準に準拠させることができます。

• Tekton は、ソフトウェアプロジェクトのビルド、テスト、およびデプロイメントプロセスを自動化するクラウドネイティブソリューションを提供します。Tekton は、Kubernetes 中心のアプローチで CI/CD ワークフローを管理することにより、シームレスな統合と一貫したアプリケーション配信を保証します。コードとしての宣言型パイプラインにより柔軟性とスケーラビリティーが実現され、開発パイプラインの効率と信頼性が向上します。Tekton を使用すると、堅牢な自動化と CI/CD プロセスの明確な可視性が得られるため、最新のクラウドネイティブ環境に最適です。

• Jenkins は、ソフトウェアプロジェクトのビルド、テスト、およびデプロイメントプロセスを自動化します。Jenkins は CI/CD ワークフローを管理することで、一貫性があり、信頼性の高いアプリケーション配信を保証します。広範なプラグインエコシステムにより、さまざまなツールやテクノロジーと柔軟に統合でき、開発パイプラインの効率と効果が向上します。

• RHTAP が正常にインストールされていることを確認します。
• RHTAP が提供するリンクを使用して、Red Hat Developer Hub (RHDH) にログインします。RHDH は包括的な開発者プラットフォームとして機能し、開発者ポータルの作成を容易にします。開発プロセスを強化する統合プラットフォームをエンジニアリングチームに提供し、高品質のソフトウェアを効率的に作成するためのさまざまなツールとリソースを提供します。

• アプリケーション情報の指定
• アプリケーションリポジトリー情報の指定
• デプロイメント情報の指定

• アプリケーションへのアクセス:

  • アプリケーションを見つけるには、Open Component in catalog を選択します。新しく作成されたアプリケーションがリスト表示される Catalog に移動することもできます。

• ソースコードの確認:

  1. Overview タブに移動し、View Source を選択して、アプリケーションのソースコードが格納されているリポジトリーを開きます。このステップで、アプリケーションの構築とロジックを詳しく把握できます。

• デプロイメント履歴の確認:

  1. Overview タブに移動し、Deployment summary セクションに移動して、namespace 全体にわたるアプリケーションのデプロイメントの概要を確認します。また、適切な Argo CD アプリケーションを選択して Argo CD でデプロイメントの詳細を開くか、Revision 列からコミット ID を選択して GitLab または GitHub での変更を確認します。

• GitOps リポジトリーの確認:

  1. Overview タブで、Kind ドロップダウンを使用して Resource を選択し、関連する GitOps リポジトリーを見つけます。
  2. GitOps 設定を直接調べるには、View Source を選択します。または、技術ドキュメントを含むより広範な概要情報を確認するために、Catalog セクションから View TechDocs を選択し、Home > Repository セクションの GitOps リポジトリーを選択します。

• ドキュメントの確認:

  1. Overview タブから、View Tech Docs をクリックします。
  2. これにより、アプリケーションの技術ドキュメントが開き、アプリケーションの機能、設定手順、効果的な活用方法に関する詳細な情報が表示されます。

• リポジトリーを 複製 し、ローカルまたは開発環境で作業を開始します。
• 技術ドキュメントや index.html を更新したり、新しい機能やバグ修正を追加したりして、アプリケーションを 変更 します。
• 変更を コミット します。
• 変更をリポジトリーに プッシュ します。

• CD: CD タブを使用して、ArgoCD と GitOps によって管理されるデプロイメントに関する詳細情報を確認します。
• Topology: Topology タブを使用して、開発名前空間内のアプリケーションのデプロイメントを視覚的に表示します。

• init: パイプラインを初期化し、再構築フラグと認証を設定して、PipelineRun のイメージリポジトリーシークレットを生成します。
• clone-repository: 指定されたリポジトリーをワークスペースに複製し、git-clone タスクで実行できるように準備します。

• build-container: このタスクは Buildah を使用してソースコードをコンテナーイメージに変換し、指定されたレジストリーにプッシュします。このタスクの主なアクションと結果は次のとおりです。

  • コンテナーイメージの作成とデプロイメント: Buildah がソースコードをコンテナーイメージにコンパイルします。作成が成功すると、イメージが指定されたイメージレジストリーにプッシュされます。
  • Software Bill of Materials (SBOM) の生成: 透明性とコンプライアンスを確保する一環として、コンテナーイメージに含まれるコンポーネント、ライブラリー、依存関係の詳細を示す SBOM が生成されます。この SBOM は最終的なコンテナーイメージ内に埋め込まれ、簡単にアクセスして検証できるようになります。
  • SBOM の公開: このタスクでは、SBOM をコンテナーイメージに組み込むだけでなく、Cosign を使用して SBOM を独立したイメージとしてプッシュします。これにより、セキュリティーチームとコンプライアンスチームによる SBOM の管理と検証が容易になります。
  • アーティファクトの作成: このタスクでは、イメージ署名 (.sig) やアテステーション (.att) などの重要なセキュリティーアーティファクトを生成します。これらのアーティファクトは、コンテナーイメージとそのコンテンツの整合性と信頼性を検証するために不可欠であり、デプロイメントパイプライン内で信頼性とセキュリティーを検証するための堅牢なメカニズムを提供します。
• update-deployment: 新しくビルドされたイメージを使用してデプロイメント環境を更新します。この更新は、Overlay > Development ディレクトリーの GitOps リポジトリーで実行されます。
• acs タスク: コードとデプロイメント設定のセキュリティー評価を実施し、確立されたセキュリティーポリシーとベストプラクティスに準拠していることを確認します。
• show-sbom: アプリケーションで使用されるすべてのソフトウェアコンポーネントとライブラリーの包括的なリストを作成し、透明性を向上させ、脆弱性管理をサポートします。
• summary: PipelineRun の概要を提供し、PipelineRun の情報を追加して、PipelineRun によって使用されるイメージリポジトリーシークレットを削除します。

検証

• アプリケーションのプロモートが成功したかどうかを評価するには、Topology タブに移動します。ここで、指定した名前空間全体のアプリケーションの配布状況を確認できます。

• clone-repository: 指定されたリポジトリーをワークスペースに複製し、git-clone タスクで実行できるように準備します。
• gather-deploy-images: PR の変更に基づいて、スキャンするコンテナーイメージを検出します。
• verify-enterprise-contract: 変更されたコンテナーイメージを検証します。このタスクにより、企業の標準ビルドシステムまたは承認済みのビルドシステムから生成されたイメージであることが確認されます。このタスクでは、Enterprise Contract (EC) ポリシーと Sigstore の cosign ツールを活用し、イメージ署名とアテステーションの整合性を評価します。