Red Hat Summit Red Hat Summitサポートコンソール開発者トライアルの開始お問い合わせ

4.2. セキュリティーインサイトの表示

プロモーションパイプラインには、安全で準拠したデプロイメントを保証するためのいくつかのタスクが含まれています。パイプラインタスクには次のものが含まれます。

  • git-clone: git-clone タスクを使用してリポジトリーのクローンをワークスペースに作成します。
  • gather-deploy-images: 検証のためにデプロイメント YAML ファイルからコンテナーイメージを抽出します。
  • verify-enterprise-contract: Enterprise Contract (EC) ポリシーと Sigstore の cosign ツールを使用してコンテナーイメージを検証します。
  • deploy-images: デプロイはターゲット環境へのイメージを検証します。
  • download-sbom-from-url-in-attestations: イメージのアテステーションで参照される OCI Blob をダウンロードして、イメージの SBOM を取得します。
  • upload-sbom-to-trustification: BOMbastic API を使用して SBOM を Trustification にアップロードします。

4.2.1. Enterprise Contract タスク
リンクのコピー

Enterprise Contract (EC) は、ソフトウェアサプライチェーンのセキュリティーを維持するために設計されたツールスイートです。コンテナーイメージが実稼働環境に昇格される前に定義された要件を満たしていることを確認することで、コンテナーイメージの整合性を維持するのに役立ちます。イメージが設定されたポリシーに準拠していないと、解決する必要がある問題を特定するレポートを EC が生成します。

Red Hat Trusted Application Pipeline ビルドプロセスでは、ビルドパイプラインの署名済みの in-toto アテステーションが生成されます。これらのアテステーションは、ビルドの整合性を暗号的に検証します。次に、EC は定義されたポリシーに照らしてビルドを評価し、組織のセキュリティー標準に準拠していることを確認します。

Red Hat Enterprise Contract (Enterprise Contract) レポートの視覚化

Red Hat Developer Hub の CI タブの Pipeline Runs セクションには、構造化されたポップアップインターフェイスで詳細なコンプライアンスレポートが表示されます。Enterprise Contract コンプライアンスレポートから得られる情報は、セキュリティーとコンプライアンスのタスクの優先順位付けに役立ちます。

  • ポリシーのコンプライアンスを確認する: アプリケーションがソフトウェアアーティファクトのサプライチェーンレベル (SLSA) などの標準を満たしていることを確認します。レポートの推奨事項に基づいて、コンプライアンスのギャップに対処します。
  • レビューを効率化する: フィルターを適用して重要な問題に焦点を合わせます。このアプローチにより、より迅速で効率的なレビュープロセスが可能になります。

Tekton を CI プロバイダーとして使用している場合の Enterprise Contract レポートの表示

  1. Catalog を選択し、確認するコンポーネントを選択します。
  2. CI タブを選択し、Actions 列で View output を選択して、選択したコンポーネントの詳細な Enterprise Contract レポートを確認します。

図4.1 EC レポート

Enterprise Contract

他の CI プロバイダーを使用する場合の Enterprise Contract レポートの表示

Jenkins や GitLab などの別の CI プロバイダーを使用する場合:

  1. それぞれのアプリケーションのビルドログに移動します。
  2. Step: verify-enterprise-contract を検索して、詳細な Enterprise Contract レポートを確認します。
コンプライアンスレポートの解釈

EC コンプライアンスレポートは、アプリケーションのセキュリティーとポリシーの遵守に関する詳細な情報を提供します。これらのレポートを理解する方法は次のとおりです。

  • ポリシーコンプライアンスの概要: 実行したチェック、そのステータス (成功、警告、または失敗)、および警告または失敗を説明するメッセージが表示されます。

  • 表示される詳細情報: ポリシーレポートの詳細:

    • 成功したチェック: 検証に合格したポリシーをリスト表示します。
    • 警告と失敗: 警告をトリガーしたポリシーやチェックに失敗したポリシーを説明とともに強調表示します。
    • ルールのコンプライアンス: ソースコードの参照やアテステーションの検証など、アプリケーションが個々のポリシールールにどのように準拠しているかを示します。
コンプライアンスの洞察の使用

EC コンプライアンスレポートから得られる洞察は、セキュリティータスクとコンプライアンスタスクの優先順位付けに役立ちます。

  • ポリシーのコンプライアンスを確認する: アプリケーションがソフトウェアアーティファクトのサプライチェーンレベル (SLSA) などの標準を満たしていることを確認します。レポートの推奨事項に基づいて、コンプライアンスのギャップに対処します。
  • レビューの合理化: レポート内のフィルターを使用して重要な問題に焦点を絞り、より迅速かつ効率的なレビュープロセスを実現します。





改訂日時: 2025-04-30

Red Hat logoGithubredditYoutubeTwitter

詳細情報

試用、購入および販売

コミュニティー

会社概要

Red Hat は、企業がコアとなるデータセンターからネットワークエッジに至るまで、各種プラットフォームや環境全体で作業を簡素化できるように、強化されたソリューションを提供しています。

多様性を受け入れるオープンソースの強化

Red Hat では、コード、ドキュメント、Web プロパティーにおける配慮に欠ける用語の置き換えに取り組んでいます。このような変更は、段階的に実施される予定です。詳細情報: Red Hat ブログ.

Red Hat ドキュメントについて

Red Hat をお使いのお客様が、信頼できるコンテンツが含まれている製品やサービスを活用することで、イノベーションを行い、目標を達成できるようにします。 最新の更新を見る.

Legal Notice

Theme

© 2026 Red Hatトップに戻る