Red Hat Summitリリースノート
Red Hat Trusted Artifact Signer 1.0.2 のリリースノート
概要
第1章 概要
Red Hat Trusted Artifact Signer (RHTAS) サービスは、コンテナーイメージ、バイナリー、Git コミットなどのソフトウェア成果物の暗号化署名と検証を簡素化することで、ソフトウェアサプライチェーンのセキュリティーを強化します。Trusted Artifact Signer は、SecureSign コミュニティープロジェクト の運用準備が整ったデプロイメントを提供します。
Trusted Artifact Signer ソフトウェアのリリースノートには、最新バージョン 1.0.2 の新機能と拡張機能、バグ修正、既知の問題が記載されています。メジャーリリースとマイナーリリースのライフサイクルを通じて公式リリースノートを基に構築されるため、各章の先頭に最新の項目が追加されます。
Red Hat Trusted Artifact Signer ドキュメントは、こちら を参照してください。
第2章 新機能および機能拡張
Red Hat Trusted Artifact Signer (RHTAS) のこのリリースで導入されたすべての主要な機能強化と新機能のリスト。
このリリースで追加された機能および機能拡張は次のとおりです。
Enterprise Contract は、コンテナーイメージの複数のアーキテクチャータイプの検査をサポートします。
このリリースでは、Enterprise Contract (EC) は、コンテナーイメージの複数のアーキテクチャータイプに対するアーティファクト検証とポリシー適用をサポートするようになりました。ec validate image コマンドは、イメージインデックスからさまざまなシステムアーキテクチャーの個々のコンテナーイメージを検査できます。
コマンドライン引数を使用したルールデータの追加
このリリースでは、ec validate image コマンドに --extra-rule-data 引数を使用して、コマンドラインで追加のルールデータを挿入できます。たとえば、これを使用してポリシーに影響を与え、リリースパイプラインの動作を継続的インテグレーションおよび継続的デリバリー (CICD) パイプラインの動作と異なるようにすることができます。
コンテナーイメージを検証する際の Enterprise Contract の新しいレポート形式
このリリースでは、ec validate image コマンドで新しいレポート形式を生成できるようになりました。ec validate image コマンドで --output text 引数を使用すると、新しいユーザーフレンドリーな出力形式を生成できます。この新しいレポート形式では、違反と警告に関する詳細のみが提供されます。追加の詳細を表示するには、JSON または YAML 形式を使用します。
OpenShift 4.16 および 4.17 のサポート
このリリースでは、OpenShift Container Platform 4.16 および 4.17 で実行しているる Trusted Artifact Signer サービスのサポートが追加されました。お客様は、現在サポートされている OpenShift Container Platform のリリースに OperatorHub から RHTAS Operator をインストールできます。
確認ページの自動終了
このリリースでは、gitsign バイナリーをバージョン 0.10.2 に更新しました。このバージョンでは、Sigstore 確認ページの自動終了機能が有効になります。認証が成功すると、確認ページは 10 秒後に閉じます。
同じ OpenShift クラスター上の異なる namespace に Trusted Artifact Signer をインストールする
このリリースでは、同じ OpenShift クラスター上の異なる namespace に RHTAS サービスをインストールできるようになりました。
アップグレード用の新しいリリースチャネル
このリリースでは、ユーザーがサブスクライブできる stable-v1.0 チャネルが追加されました。このチャネルに登録すると、ユーザーは 1.0.x リリースラインにのみ自動的にアップグレードされます。今後のマイナーリリースにおける最新の更新をすべて受け取るには、stable チャネルをサブスクライブしてください。また、今回のリリースでは alpha チャネルが削除されました。
Trillian のモニタリング
このリリースでは、Trillian サーバーの監視を有効にできます。監視を有効にするには、trillian スタンザの下に monitoring スタンザを追加し、Securesign インスタンスの enabled を true に設定します。以下に例を示します。
...
trillian:
monitoring:
enabled: true
...
...
trillian:
monitoring:
enabled: true
...モニタリングを有効にすると、ナビゲーションメニューで Observe を展開し、Metrics をクリックすることで、OpenShift Web コンソールから収集されたメトリクスを表示および照会できます。
証明書の透明性ログのモニタリング
このリリースでは、証明書の透明性ログ (CTlog) サーバーのモニタリングを有効にできます。監視を有効にするには、ctlog スタンザの下に monitoring スタンザを追加し、Securesign インスタンスの enabled を true に設定します。以下に例を示します。
...
ctlog:
monitoring:
enabled: true
...
...
ctlog:
monitoring:
enabled: true
...モニタリングを有効にすると、ナビゲーションメニューで Observe を展開し、Metrics をクリックすることで、OpenShift Web コンソールから収集されたメトリクスを表示および照会できます。
セグメントバックアップジョブの改善
このリリースでは、Trusted Artifact Signer サービスのセグメントバックアップジョブにいくつかの改善が加えられています。既存の脆弱性があるため、セグメントバックアップジョブは Python で書き直され、クラスターレベルのメトリクスが許可されているかどうかが検証されます。
第3章 バグ修正
Red Hat Trusted Artifact Signer (RHTAS) のこのリリースでは、次のバグが修正されました。これらの修正に加えて、以前のバージョンで発見され修正された既知の問題の説明もリストします。
OpenShift 環境を検出する際の Operator ロジックの更新
OpenShift クラスターの再起動中、OpenShift 環境を検出する RHTAS Operator ロジックは信頼できませんでした。Operator は、OpenShift 以外の環境で実行していると誤解し、システムを不適切に設定してしまいます。これにより、API が利用できなくなり、Trillian データベース Pod が起動しなくなりました。これにより、OpenShift の Security Context Constraints (SCC) 違反も発生していました。
このリリースでは、RHTAS Operator での OpenShift 環境の動的検出が削除されました。RHTAS Operator のインストール中に、新しい OPENSHIFT 環境変数を使用してターゲット環境を明示的に設定する必要があります。これを行うことで、RHTAS Operator がデプロイメントに対して常に正しい設定を適用できるようになります。Operator Lifecycle Manager (OLM) を使用して RHTAS Operator をデプロイすると、OPENSHIFT 環境変数がデフォルトで true に設定されます。その結果、RHTAS Operator はシステムを一貫して適切に設定し、再起動時のサービス起動の問題を防ぎ、OpenShift SCC に違反しなくなりました。
Enterprise Contract はより速く、より効率的です
この更新の前は、Enterprise Contract (EC) は、各コンポーネントを検証するために、設定されたソースからポリシーとポリシーデータをダウンロードしていました。これにより、必要以上のデータをダウンロードし、ec validity image コマンドの実行時間が長くなりました。このリリースでは、ec validate image コマンドが異なるコンテナーイメージを検証するために同じポリシーソースを検出すると、ポリシーデータが複数回ダウンロードされなくなりました。
Operator は nil ポインター例外で終了します
fulcio.spec.privateKeyPasswordRef の証明書の透明性ログ (CTlog) のパスワードが正しく設定されていない、RHTAS Operator は意味のあるエラーメッセージを表示せずに終了します。このリリースでは、このシナリオに対してより堅牢なエラー処理が追加され、CTlog が正しく設定されていない場合に、より意味のある Operator エラーメッセージが表示されるようになりました。
Fulcio 証明書の共通名が間違っている
sigstore.issuer フィールドは、Fulcio 証明書の spec.certificate.commonName で指定された共通名の値を使用するようにハードコードされていました。このリリースでは、sigstore.issuer フィールドを適切に設定するためのロジックが追加されました。spec.certificate.commonName が空の場合は、spec.externalAccess.host 値に基づいて sigstore.issuer を設定します。spec.certificate.commonName と spec.externalAccess.host が空の場合は、sigstore.issuer を OpenShift クラスターのドメイン名に設定します。その結果、Fulcio 証明書の共通名が適切に設定されました。
Operator から kube-rbac-proxy を削除している
kube-rbac-proxy の --tls-cert-file および --tls-private-key-file フラグが廃止されたため、RHTAS Operator のインストール時にロールベースアクセス制御 (RBAC) HTTP プロキシーリソースが削除されました。このため、Operator の namespace に事前定義された証明書と秘密鍵が必要です。デフォルトの Operator namespace は openshift-operators です。この結果、Operator コントローラーの /metrics API エンドポイントを保護するために、この RBAC HTTP プロキシーリソースを使用しなくなりました。
Rekor 検索 UI をデフォルトで有効にする
このリリースでは、ユーザーは Rekor 検索ユーザーインターフェイス (UI) を手動でインストールする必要がなくなりました。デフォルトで Rekor 検索 UI が有効になります。
インストールが失敗した後も CreateTree タスクは実行を継続する
RHTAS サービスを削除して再インストールすると、一部のシナリオでは CreateTree タスクが継続的に実行され、その後のインストールが成功しなくなる可能性があります。このリリースでは、RHTAS インストールプロセスで CreateTree タスクの実行が検出されると、ユーザーの介入なしにタスクがクリーンアップされます。詳細は、GitHub の問題 #230 を参照してください。
kube-rbac-proxy のアップストリームバージョンをサポートされているバージョンに置き換え
Red Hat Trusted Artifact Signer 1.0 には、ロールベースのアクセス制御 (RBAC) プロキシーコンテナーのアップストリームバージョンである gcr.io/kubebuilder/kube-rbac-proxy が同梱されています。このリリースでは、アップストリームバージョンを公式のサポートされている Red Hat バージョン registry.redhat.io/openshift4/ose-kube-rbac-proxy に置き換えました。
十分なメモリーがない場合は、Trusted Artifact Signer Operator がクラッシュする可能性がある
RHTAS Operator のインストール中に、十分なメモリーが割り当てられていない場合は、CrashLoopBackoff ステータスが発生します。このクラッシュにより、RHTAS Operator は適切にインストールできなくなりました。
このリリースでは、RHTAS Operator のメモリー割り当てが増加し、正常にインストールできるようになりました。
Enterprise Contract バイナリーのダウンロードが見つからない
ユーザーが Enterprise Contract (EC) バイナリーをダウンロードしようとすると、404 ページが表示されました。Windows 用の EC バイナリーへのパスが正しく設定されていないため、404 ページが生成されました。このリリースでは、Windows 用の EC バイナリーへのパスが正しく設定され、404 ページが表示されなくなりました。
cosign の Windows 実行ファイルに .exe 拡張子がない
Windows 用の cosign バイナリーをダウンロードするときに、.exe ファイル名拡張子がありませんでした。.exe ファイル名拡張子がないと、cosign バイナリーを Windows 上で実行できません。このリリースでは、cosign バイナリーに .exe ファイル名拡張子が付けられ、Windows 上で期待どおりに実行されます。
Trusted Artifact Signer Operator のテクニカルプレビュー版のアップグレードが失敗する
以前は、RHTAS Operator のテクニカルプレビューバージョン (0.0.2) が一般公開バージョン (1.0.0) に自動的にアップグレードされ、アップグレードに失敗していました。Securesign インスタンスとそのカスタムリソース (CR) がすでに存在する場合は、テクニカルプレビューバージョンからのアップグレードが失敗しなくなりました。
セグメントバックアップジョブのクラスター権限
以前は、Rekor および Fulcio メトリクスを収集するセグメントバックアップサービスアカウントのロールベースのアクセス制御 (RBAC) の設定が誤っているため、権限が昇格されています。セグメントバックアップジョブを有効にすると、これらの昇格された権限でクラスター全体のシークレットを読み取ることができます。
この RHTAS リリースでは、セグメントバックアップサービスアカウントの権限を制限することで誤った設定を修正しました。これらのメトリクスの収集がデフォルトで有効になりました。
第4章 既知の問題
解決済みの既知の問題:
Red Hat Trusted Artifact Signer (RHTAS) のこのリリースで見つかった既知の問題のリスト。
アップグレード後は、Rekor Search UI にレコードが表示されない
RHTAS Operator を最新バージョンにアップグレードした後 (1.0.1)、メールアドレスで検索するときに既存の Rekor データが見つかりません。backfill-redis CronJob は、Rekor Search UI が透過性ログを 1 日 1 回 (午前 0 時に 1 回のみ) に実行できるようにします。この問題を回避するには、午前 0 時まで待つのではなく、backfill-redis ジョブを手動でトリガーできます。
コマンドラインインターフェイスから backfill-redis ジョブをトリガーするには、以下のコマンドを実行します。
oc create job --from=cronjob/backfill-redis backfill-redis -n trusted-artifact-signer
oc create job --from=cronjob/backfill-redis backfill-redis -n trusted-artifact-signerこれにより、不足しているデータが Rekor Search UI に戻ります。
OpenShift 4.13 でバージョン番号が誤って報告される
OpenShift Container Platform 4.13 に RHTAS Operator をインストールすると、実際にはバージョン 1.0.1 がインストールされているにもかかわらず、バージョン 0.0.2 と誤って表示されます。現在、この問題を解決する回避策はありません。
第5章 非推奨になった機能
Red Hat Trusted Artifact Signer のこのリリースまでのサポート対象の全リリースでの非推奨機能を概説します。
Red Hat Trusted Artifact Signer ソフトウェアスタックの Helm デプロイメントの非推奨化
このリリースでは、Red Hat は Helm チャートを使用した Red Hat の Trusted Artifact Signer 製品のデプロイメントを廃止します。Helm を使用した Trusted Artifact Signer のデプロイはサポートされなくなりました。
'%20d='M201.5%20305.5c-13.8%200-24.9-11.1-24.9-24.6%200-13.8%2011.1-24.9%2024.9-24.9%2013.6%200%2024.6%2011.1%2024.6%2024.9%200%2013.6-11.1%2024.6-24.6%2024.6zM504%20256c0%20137-111%20248-248%20248S8%20393%208%20256%20119%208%20256%208s248%20111%20248%20248zm-132.3-41.2c-9.4%200-17.7%203.9-23.8%2010-22.4-15.5-52.6-25.5-86.1-26.6l17.4-78.3%2055.4%2012.5c0%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.3%2024.9-24.9s-11.1-24.9-24.9-24.9c-9.7%200-18%205.8-22.1%2013.8l-61.2-13.6c-3-.8-6.1%201.4-6.9%204.4l-19.1%2086.4c-33.2%201.4-63.1%2011.3-85.5%2026.8-6.1-6.4-14.7-10.2-24.1-10.2-34.9%200-46.3%2046.9-14.4%2062.8-1.1%205-1.7%2010.2-1.7%2015.5%200%2052.6%2059.2%2095.2%20132%2095.2%2073.1%200%20132.3-42.6%20132.3-95.2%200-5.3-.6-10.8-1.9-15.8%2031.3-16%2019.8-62.5-14.9-62.5zM302.8%20331c-18.2%2018.2-76.1%2017.9-93.6%200-2.2-2.2-6.1-2.2-8.3%200-2.5%202.5-2.5%206.4%200%208.6%2022.8%2022.8%2087.3%2022.8%20110.2%200%202.5-2.2%202.5-6.1%200-8.6-2.2-2.2-6.1-2.2-8.3%200zm7.7-75c-13.6%200-24.6%2011.1-24.6%2024.9%200%2013.6%2011.1%2024.6%2024.6%2024.6%2013.8%200%2024.9-11.1%2024.9-24.6%200-13.8-11-24.9-24.9-24.9z'/%3e%3c/svg%3e){kind=small}