デプロイメントガイド

手順

1. cluster-admin ロールを持つユーザーで OpenShift Web コンソールにログインします。
2. Administrator パースペクティブで、Operators ナビゲーションメニューを展開し、OperatorHub をクリックします。
3. 検索フィールドに trusted と入力し、Red Hat Trusted Artifact Signer タイルをクリックします。
4. Install ボタンをクリックして、Operator の詳細を表示します。

5. デフォルト値を受け入れ、Install Operator ページで Install をクリックし、インストールが完了するまで待ちます。

   重要

   インストールが完了すると、新しいプロジェクトが自動的に作成されます。新しいプロジェクト名は trusted-artifact-signer です。

   注記

   Trusted Artifact Signer Operator は openshift-operators namespace にインストールされ、すべての依存関係が自動的にインストールされます。

6. オプション: デフォルトのデータベースの代わりに、Trusted Artifact Signer サービスに別のデータベースプロバイダーを使用できます。Amazon の Relational Database Service (RDS)、または OpenShift 上のデータベース (セルフマネージド) を使用する場合は、まずそちらの手順のいずれかを実行してから、このインストールを続行してください。他のデータベースプロバイダーのいずれかの設定が完了したら、この手順の次の手順に進むことができます。

7. Trusted Artifact Signer サービスをデプロイします。

   1. ナビゲーションメニューから Operator を展開し、Installed Operators をクリックします。
   2. プロジェクトのドロップダウンボックスから、trusted-artifact-signer を選択します。
   3. Red Hat Trusted Artifact Signer をクリックします。
   4. Securesign タブをクリックし、Create Securesign ボタンをクリックします。
   5. Create Securesign ページで、YAML view を選択します。

   6. このデプロイメント中に、Google OAuth、Amazon STS、Red Hat’s SSO、または GitHub OAuth を初期 OIDC プロバイダーとして設定できます。spec.fulcio.config.OIDCIssuers セクションで、OIDC プロバイダー URL を含む次の 3 行を編集し、ClientID を適切に設定します。

      例

      ...
      OIDCIssuers:
        - Issuer: 'OIDC_ISSUER_URL':
          ClientID: CLIENT_ID
          IssuerURL: 'OIDC_ISSUER_URL'
          Type: email
      ...

      重要

      同じ設定で複数の異なる OIDC プロバイダーを定義できます。

      注記

      Red Hat の SSO がすでに OIDC プロバイダーとして実装されている場合は、次のコマンドを実行して発行者の URL を見つけます。

      $ echo https://$(oc get route keycloak -n keycloak-system | tail -n 1 | awk '{print $2}')/auth/realms/trusted-artifact-signer

      ClientID を trusted-artifact-signer に設定します。

   7. オプション: デフォルト以外のデータベースを使用する場合は、spec.trillian セクションで create を false に設定し、データベースシークレットオブジェクトの名前を付けます。

      例

      ...
      trillian:
        database:
          create: false
          databaseSecretRef:
            name: trillian-mysql
      ...

   8. Create ボタンをクリックします。

8. All instances タブをクリックして、CTlog、Fulcio、Rekor、Trillian、および TUF インスタンスの準備ができるまでデプロイメントステータスを監視します。

   注記

   Securesign インスタンスからは、ステータスはわかりません。

9. OpenShift コンソールで Prometheus を使用すると、新しい Trusted Artifact Signer サービスの健全性を確認できます。ナビゲーションメニューから Observe を展開し、Dashboards をクリックします。
10. コンテナーイメージ または Git コミット に署名して、インストールを検証します。

手順

1. Red Hat 認証情報を使用して Red Hat Hybrid Cloud コンソール にログインします。
2. ホームページから、Services ドロップダウンメニューをクリックし、Red Hat Ansible Automation Platform をクリックします。
3. ナビゲーションメニューから Automation Hub を展開し、Collections をクリックします。
4. 検索フィールドに rhtas と入力し、Enter キーを押します。
5. Red Hat Trusted Artifact Signer タイルの artifact_signer リンクをクリックします。

6. Documentation タブをクリックし、そこに記載されている手順に従って、Red Hat Enterprise Linux への RHTAS のインストールを完了します。

   注記

   すべての設定パラメーターの詳細な概要は、Roles セクションの tas_single_node リンクをクリックしてください。

手順

1. OpenShift クラスターからワークステーションに cosign バイナリーをダウンロードします。

   1. OpenShift Web コンソールにログインします。ホームページから ? アイコンをクリックして、Command line tools をクリックし、cosign ダウンロードセクションに移動し、プラットフォームのリンクをクリックします。

   2. ワークステーションでターミナルを開き、バイナリー .gz ファイルを展開し、実行ビットを設定します。

      例

      $ gunzip cosign-amd64.gz
      $ chmod +x cosign-amd64

   3. バイナリーを $PATH 環境内の場所に移動し、名前を変更します。

      例

      $ sudo mv cosign-amd64 /usr/local/bin/cosign

2. OpenShift クラスターにログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   $ oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

3. RHTAS プロジェクトに切り替えます。

   構文

   oc project PROJECT_NAME

   例

   $ oc project trusted-artifact-signer

   注記

   RHTAS インストールのプロジェクト名を使用します。

4. コンテナーイメージの署名と検証を行うためにシェル環境を設定します。

   例

   $ export TUF_URL=$(oc get tuf -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
   $ export OIDC_ISSUER_URL=https://$(oc get route keycloak -n keycloak-system | tail -n 1 | awk '{print $2}')/auth/realms/trusted-artifact-signer
   $ export COSIGN_FULCIO_URL=$(oc get fulcio -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
   $ export COSIGN_REKOR_URL=$(oc get rekor -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
   $ export COSIGN_MIRROR=$TUF_URL
   $ export COSIGN_ROOT=$TUF_URL/root.json
   $ export COSIGN_OIDC_CLIENT_ID="trusted-artifact-signer"
   $ export COSIGN_OIDC_ISSUER=$OIDC_ISSUER_URL
   $ export COSIGN_CERTIFICATE_OIDC_ISSUER=$OIDC_ISSUER_URL
   $ export COSIGN_YES="true"
   $ export SIGSTORE_FULCIO_URL=$COSIGN_FULCIO_URL
   $ export SIGSTORE_OIDC_ISSUER=$COSIGN_OIDC_ISSUER
   $ export SIGSTORE_REKOR_URL=$COSIGN_REKOR_URL
   $ export REKOR_REKOR_SERVER=$COSIGN_REKOR_URL

5. The Update Framework (TUF) システムを初期化します。

   例

   $ cosign initialize

6. テストコンテナーイメージに署名します。

   1. 空のコンテナーイメージを作成します。

      例

      $ echo "FROM scratch" > ./tmp.Dockerfile
      $ podman build . -f ./tmp.Dockerfile -t ttl.sh/rhtas/test-image:1h

   2. 空のコンテナーイメージを ttl.sh 一時レジストリーにプッシュします。

      例

      $ podman push ttl.sh/rhtas/test-image:1h

   3. コンテナーイメージに署名します。

      構文

      cosign sign -y IMAGE_NAME:TAG

      例

      $ cosign sign -y ttl.sh/rhtas/test-image:1h

      Web ブラウザーが開いて、コンテナーイメージをメールアドレスで署名できます。

   4. 一時的な Docker ファイルを削除します。

      例

      $ rm ./tmp.Dockerfile

7. 証明書 ID と発行者を使用して、署名済みコンテナーイメージを確認します。

   構文

   cosign verify --certificate-identity=SIGNING_EMAIL_ADDR IMAGE_NAME:TAG

   例

   $ cosign verify --certificate-identity=jdoe@redhat.com ttl.sh/rhtas/test-image:1h

   注記

   cosign コマンドと --certificate-identity-regexp および --certificate-oidc-issuer-regexp オプションを使用して、証明書の ID と発行者に正規表現を使用することもできます。

8. OpenShift クラスターからワークステーションに rekor-cli バイナリーをダウンロードします。

   1. OpenShift Web コンソールにログインします。ホームページで ? アイコンをクリックし、Command line tools をクリックして rekor-cli ダウンロードセクションに移動し、プラットフォームのリンクをクリックします。

   2. ワークステーションでターミナルを開き、バイナリー .gz ファイルを展開し、実行ビットを設定します。

      例

      $ gunzip rekor-cli-amd64.gz
      $ chmod +x rekor-cli-amd64

   3. バイナリーを $PATH 環境内の場所に移動し、名前を変更します。

      例

      $ sudo mv rekor-cli-amd64 /usr/local/bin/rekor-cli

9. Rekor コマンドラインインターフェイスを使用して透明性ログをクエリーします。

   1. ログインデックスに基づき検索します。

      例

      $ rekor-cli get --log-index 0 --rekor_server $COSIGN_REKOR_URL --format json | jq

   2. ユニバーサルユニーク ID (UUID) を取得するために、メールアドレスを検索します。

      構文

      rekor-cli search --email SIGNING_EMAIL_ADDR --rekor_server $COSIGN_REKOR_URL --format json | jq

      例

      $ rekor-cli search --email jdoe@redhat.com --rekor_server $COSIGN_REKOR_URL --format json | jq

      このコマンドは、次の手順で使用する UUID を返します。

   3. UUID を使用してトランザクションの詳細を取得します。

      構文

      rekor-cli get --uuid UUID --rekor_server $COSIGN_REKOR_URL --format json | jq

      例

      $ rekor-cli get --uuid 24296fb24b8ad77a71b9c1374e207537bafdd75b4f591dcee10f3f697f150d7cc5d0b725eea641e7 --rekor_server $COSIGN_REKOR_URL --format json | jq

手順

1. OpenShift クラスターからワークステーションに gitsign バイナリーをダウンロードします。

   1. OpenShift Web コンソールにログインします。ホームページから、? をクリックします。アイコンをクリックして、Command line tools をクリックし、gitsign ダウンロードセクションに移動して、お使いのプラットフォームのリンクをクリックします。

   2. ワークステーションでターミナルを開き、.gz ファイルを展開して、実行ビットを設定します。

      例

      $ gunzip gitsign-amd64.gz
      $ chmod +x gitsign-amd64

   3. バイナリーを $PATH 環境内の場所に移動し、名前を変更します。

      例

      $ sudo mv gitsign-amd64 /usr/local/bin/gitsign

2. OpenShift クラスターにログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   $ oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

3. RHTAS プロジェクトに切り替えます。

   構文

   oc project PROJECT_NAME

   例

   $ oc project trusted-artifact-signer

   注記

   RHTAS インストールのプロジェクト名を使用します。

4. コミットの署名と検証を行うためにシェル環境を設定します。

   例

   $ export TUF_URL=$(oc get tuf -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
   $ export OIDC_ISSUER_URL=https://$(oc get route keycloak -n keycloak-system | tail -n 1 | awk '{print $2}')/auth/realms/trusted-artifact-signer
   $ export COSIGN_FULCIO_URL=$(oc get fulcio -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
   $ export COSIGN_REKOR_URL=$(oc get rekor -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
   $ export COSIGN_MIRROR=$TUF_URL
   $ export COSIGN_ROOT=$TUF_URL/root.json
   $ export COSIGN_OIDC_CLIENT_ID="trusted-artifact-signer"
   $ export COSIGN_OIDC_ISSUER=$OIDC_ISSUER_URL
   $ export COSIGN_CERTIFICATE_OIDC_ISSUER=$OIDC_ISSUER_URL
   $ export COSIGN_YES="true"
   $ export SIGSTORE_FULCIO_URL=$COSIGN_FULCIO_URL
   $ export SIGSTORE_OIDC_ISSUER=$COSIGN_OIDC_ISSUER
   $ export SIGSTORE_REKOR_URL=$COSIGN_REKOR_URL
   $ export REKOR_REKOR_SERVER=$COSIGN_REKOR_URL

5. RHTAS サービスを使用してコミットに署名するようにローカルリポジトリー設定を指定します。

   例

   $ git config --local commit.gpgsign true
   $ git config --local tag.gpgsign true
   $ git config --local gpg.x509.program gitsign
   $ git config --local gpg.format x509
   $ git config --local gitsign.fulcio $SIGSTORE_FULCIO_URL
   $ git config --local gitsign.rekor $SIGSTORE_REKOR_URL
   $ git config --local gitsign.issuer $SIGSTORE_OIDC_ISSUER
   $ git config --local gitsign.clientID trusted-artifact-signer

6. ローカルリポジトリーにコミットを作成します。

   例

   $ git commit --allow-empty -S -m “Test of a signed commit”

   Web ブラウザーが開いて、メールアドレスでコミットに署名できます。

7. The Update Framework (TUF) システムを初期化します。

   例

   $ cosign initialize

8. コミットを確認します。

   構文

   gitsign verify --certificate-identity=SIGNING_EMAIL --certificate-oidc-issuer=$SIGSTORE_OIDC_ISSUER HEAD

   例

   $ gitsign verify --certificate-identity=jdoe@redhat.com --certificate-oidc-issuer=$SIGSTORE_OIDC_ISSUER HEAD

手順

1. OpenShift クラスターから ec バイナリーをダウンロードします。

   1. OpenShift Web コンソールにログインします。ホームページから ? アイコンをクリックし、Command line tools をクリックして、ec ダウンロードセクションに移動してから、お使いのプラットフォームへのリンクをクリックします。

   2. ワークステーションでターミナルを開き、バイナリー .gz ファイルを展開し、実行ビットを設定します。

      例

      $ gunzip ec-amd64.gz
      $ chmod +x ec-amd64

   3. バイナリーを $PATH 環境内の場所に移動し、名前を変更します。

      例

      $ sudo mv ec-amd64 /usr/local/bin/ec

2. OpenShift クラスターにログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   $ oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

3. RHTAS プロジェクトに切り替えます。

   構文

   oc project PROJECT_NAME

   例

   $ oc project trusted-artifact-signer

   注記

   RHTAS インストールのプロジェクト名を使用します。

4. コンテナーイメージの署名と検証を行うためにシェル環境を設定します。

   例

   $ export TUF_URL=$(oc get tuf -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
   $ export OIDC_ISSUER_URL=https://$(oc get route keycloak -n keycloak-system | tail -n 1 | awk '{print $2}')/auth/realms/trusted-artifact-signer
   $ export COSIGN_FULCIO_URL=$(oc get fulcio -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
   $ export COSIGN_REKOR_URL=$(oc get rekor -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
   $ export COSIGN_MIRROR=$TUF_URL
   $ export COSIGN_ROOT=$TUF_URL/root.json
   $ export COSIGN_OIDC_CLIENT_ID="trusted-artifact-signer"
   $ export COSIGN_OIDC_ISSUER=$OIDC_ISSUER_URL
   $ export COSIGN_CERTIFICATE_OIDC_ISSUER=$OIDC_ISSUER_URL
   $ export COSIGN_YES="true"
   $ export SIGSTORE_FULCIO_URL=$COSIGN_FULCIO_URL
   $ export SIGSTORE_OIDC_ISSUER=$COSIGN_OIDC_ISSUER
   $ export SIGSTORE_REKOR_URL=$COSIGN_REKOR_URL
   $ export REKOR_REKOR_SERVER=$COSIGN_REKOR_URL

5. The Update Framework (TUF) システムを初期化します。

   例

   $ cosign initialize

6. テストコンテナーイメージに署名します。

   1. 空のコンテナーイメージを作成します。

      例

      $ echo "FROM scratch" > ./tmp.Dockerfile
      $ podman build . -f ./tmp.Dockerfile -t ttl.sh/rhtas/test-image:1h

   2. 空のコンテナーイメージを ttl.sh 一時レジストリーにプッシュします。

      例

      $ podman push ttl.sh/rhtas/test-image:1h

   3. コンテナーイメージに署名します。

      構文

      cosign sign -y IMAGE_NAME:TAG

      例

      $ cosign sign -y ttl.sh/rhtas/test-image:1h

      Web ブラウザーが開いて、コンテナーイメージをメールアドレスで署名できます。

   4. 一時的な Docker ファイルを削除します。

      例

      $ rm ./tmp.Dockerfile

7. predicate.json ファイルを作成します。

   例

   {
     "builder": {
       "id": "https://localhost/dummy-id"
     },
     "buildType": "https://example.com/tekton-pipeline",
     "invocation": {},
     "buildConfig": {},
     "metadata": {
       "completeness": {
         "parameters": false,
         "environment": false,
         "materials": false
       },
       "reproducible": false
     },
     "materials": []
   }

   スキーマレイアウトの詳細は、SLSA provenance predicate specifications を参照してください。

8. predicate.json ファイルをコンテナーイメージに関連付けます。

   構文

   cosign attest -y --predicate ./predicate.json --type slsaprovenance IMAGE_NAME:TAG

   例

   $ cosign attest -y --predicate ./predicate.json --type slsaprovenance ttl.sh/rhtas/test-image:1h

9. コンテナーイメージにアテステーションと署名が 1 つ以上含まれていることを確認します。

   構文

   cosign tree IMAGE_NAME:TAG

   例

   $ cosign tree ttl.sh/rhtas/test-image:1h
   
   📦 Supply Chain Security Related artifacts for an image: ttl.sh/rhtas/test-image@sha256:7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35
   └── 💾 Attestations for an image tag: ttl.sh/rhtas/test-image:sha256-7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35.att
      └── 🍒 sha256:40d94d96a6d3ab3d94b429881e1b470ae9a3cac55a3ec874051bdecd9da06c2e
   └── 🔐 Signatures for an image tag: ttl.sh/rhtas/test-image:sha256-7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35.sig
      └── 🍒 sha256:f32171250715d4538aec33adc40fac2343f5092631d4fc2457e2116a489387b7

10. Enterprise Contact を使用してコンテナーイメージを確認します。

    構文

    ec validate image --image IMAGE_NAME:TAG --certificate-identity-regexp 'SIGNER_EMAIL_ADDR' --certificate-oidc-issuer-regexp 'keycloak-keycloak-system' --output yaml --show-successes

    例

    $ ec validate image --image ttl.sh/rhtas/test-image:1h --certificate-identity-regexp 'jdoe@example.com' --certificate-oidc-issuer-regexp 'keycloak-keycloak-system' --output yaml --show-successes
    
    success: true
    successes:
      - metadata:
          code: builtin.attestation.signature_check
        msg: Pass
      - metadata:
          code: builtin.attestation.syntax_check
        msg: Pass
      - metadata:
          code: builtin.image.signature_check
        msg: Pass
    ec-version: v0.1.2427-499ef12
    effective-time: "2024-01-21T19:57:51.338191Z"
    key: ""
    policy: {}
    success: true

    エンタープライズコントラクトは、セキュリティー違反の詳細を含む pass-fail レポートを生成します。--info フラグを追加すると、レポートには、検出された違反に対する詳細と考えられる解決策が含まれます。

手順

1. ワークステーションでターミナルを開き、OpenShift にログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   $ oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

2. RHTAS 設定を更新します。

   1. Securesign リソースを開いて編集します。

      構文

      oc edit Securesign NAME -n NAMESPACE

      例

      $ oc edit Securesign securesign-sample -n trusted-artifact-signer

      注記

      RHTAS インストール用に作成されたプロジェクト名を namespace として使用する必要があります。

   2. OIDCIssuers セクションで、Google クライアント ID、発行者の URL を含む新しいサブセクションを追加し、Type 値を email に設定します。

      構文

      ...
      OIDCIssuers:
        - Issuer: "https://accounts.google.com"
          IssuerURL: "https://accounts.google.com"
          ClientID: "CLIENT_ID"
          Type: email
      ...

      Google クライアント識別子を ClientID フィールドに追加します。

   3. 変更を保存し、エディターを終了します。数秒後、Operator は RHTAS ソフトウェアスタックを自動的に再設定します。

3. OIDC 発行者とクライアント ID 環境変数を Google を使用するように変更します。

   例

   $ export OIDC_ISSUER_URL=https://accounts.google.com
   $ export COSIGN_OIDC_CLIENT_ID="314919563931-35zke44ouf2oiztjg7v8o8c2ge9usnd1.apps.googleexample.com"

4. Google コンソールからプレーンテキストファイルにシークレットをコピーして貼り付けます。

   構文

   echo SECRET > my-google-client-secret

5. RHTAS サービスがすでに実行されている場合は、テストコンテナーイメージに署名して更新された設定を確認できます。

   1. 空のコンテナーイメージを作成します。

      例

      $ echo "FROM scratch" > ./tmp.Dockerfile
      $ podman build . -f ./tmp.Dockerfile -t ttl.sh/rhtas/test-image:1h

   2. 空のコンテナーイメージを ttl.sh 一時レジストリーにプッシュします。

      例

      $ podman push ttl.sh/rhtas/test-image:1h

   3. 一時的な Docker ファイルを削除します。

      例

      $ rm ./tmp.Dockerfile

   4. コンテナーイメージに署名します。

      構文

      cosign sign -y --oidc-client-secret-file=SECRET_FILE IMAGE_NAME:TAG

      例

      $ cosign sign -y --oidc-client-secret-file=my-google-client-secret ttl.sh/rhtas/test-image:1h

      Web ブラウザーが開いて、コンテナーイメージをメールアドレスで署名できます。

手順

1. cluster-admin ロールを持つユーザーで OpenShift Web コンソールにログインします。

2. Keycloak サービスをデプロイする新規プロジェクトを作成します。

   1. Administrator パースペクティブのナビゲーションメニューから Home を展開し、Projects をクリックします。
   2. Create Project ボタンをクリックします。
   3. 新しい project name は keycloak-system で、Create ボタンをクリックします。
3. ナビゲーションメニューから Operators を展開し、OperatorHub をクリックします。
4. 検索フィールドに sso と入力し、Red Hat Single Sign-on タイルをクリックします。
5. Install ボタンをクリックして、Operator の詳細を表示します。
6. まだ設定されていない場合は、Installed Namespace ドロップダウンメニューから keycloak-system を選択します。
7. Install Operator ページで Install をクリックし、インストールが完了するまで待ちます。
8. インストールが完了したら、View Operator をクリックします。

9. ワークステーションターミナルから、OpenShift クラスターにログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   $ oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

10. Keycloak プロジェクトに切り替えます。

    例

    $ oc project keycloak-system

11. Keycloak インスタンスを作成します。

    例

    $ cat <<EOF | oc apply -f -
    apiVersion: keycloak.org/v1alpha1
    kind: Keycloak
    metadata:
      labels:
        app: sso
      name: keycloak
    spec:
      externalAccess:
        enabled: true
      instances: 1
      keycloakDeploymentSpec:
        imagePullPolicy: Always
      postgresDeploymentSpec:
        imagePullPolicy: Always
    EOF

12. Keycloak レルムを作成します。

    例

    $ cat <<EOF | oc apply -f -
    apiVersion: keycloak.org/v1alpha1
    kind: KeycloakRealm
    metadata:
      labels:
        app: sso
      name: trusted-artifact-signer
    spec:
      instanceSelector:
        matchLabels:
          app: sso
      realm:
        displayName: Red-Hat-Trusted-Artifact-Signer
        enabled: true
        id: trusted-artifact-signer
        realm: trusted-artifact-signer
        sslRequired: none
    EOF

13. Keycloak クライアントを作成します。

    例

    $ cat <<EOF | oc apply -f -
    apiVersion: keycloak.org/v1alpha1
    kind: KeycloakClient
    metadata:
      labels:
        app: sso
      name: trusted-artifact-signer
    spec:
      client:
        attributes:
          request.object.signature.alg: RS256
          user.info.response.signature.alg: RS256
        clientAuthenticatorType: client-secret
        clientId: trusted-artifact-signer
        defaultClientScopes:
        - profile
        - email
        description: Client for Red Hat Trusted Artifact Signer authentication
        directAccessGrantsEnabled: true
        implicitFlowEnabled: false
        name: trusted-artifact-signer
        protocol: openid-connect
        protocolMappers:
        - config:
            claim.name: email
            id.token.claim: "true"
            jsonType.label: String
            user.attribute: email
            userinfo.token.claim: "true"
          name: email
          protocol: openid-connect
          protocolMapper: oidc-usermodel-property-mapper
        - config:
            claim.name: email-verified
            id.token.claim: "true"
            user.attribute: emailVerified
            userinfo.token.claim: "true"
          name: email-verified
          protocol: openid-connect
          protocolMapper: oidc-usermodel-property-mapper
        - config:
            claim.name: aud
            claim.value: trusted-artifact-signer
            id.token.claim: "true"
            access.token.claim: "true"
            userinfo.token.claim: "true"
          name: audience
          protocol: openid-connect
          protocolMapper: oidc-hardcoded-claim-mapper
        publicClient: true
        standardFlowEnabled: true
        redirectUris:
        - "*"
      realmSelector:
        matchLabels:
          app: sso
    EOF

14. Keycloak ユーザーを作成します。

    例

    $ cat <<EOF | oc apply -f -
    apiVersion: keycloak.org/v1alpha1
    kind: KeycloakUser
    metadata:
      labels:
        app: sso
      name: jdoe
    spec:
      realmSelector:
        matchLabels:
          app: sso
      user:
        email: jdoe@redhat.com
        enabled: true
        emailVerified: true
        credentials:
          - type: "password"
            value: "secure"
        firstName: Jane
        lastName: Doe
        username: jdoe
    EOF

    ユーザー名、ユーザーのメールアドレス、パスワードを設定するか、秘密オブジェクトを参照します。

15. OpenShift Web コンソールに戻り、All instances タブをクリックして監視し、Keycloak システムが正常に初期化されるまで待ちます。

手順

1. cluster-admin ロールを持つユーザーで OpenShift Web コンソールにログインします。

2. Keycloak サービスをデプロイする新規プロジェクトを作成します。

   1. Administrator パースペクティブのナビゲーションメニューから Home を展開し、Projects をクリックします。
   2. Create Project ボタンをクリックします。
   3. 新しいプロジェクト名は keycloak-system で、Create ボタンをクリックします。

3. 永続データを保存するために Keycloak が使用する PostgreSQL インスタンスをデプロイします。

   重要

   Keycloak で使用するデータベースがすでに存在する場合は、データベースインスタンスに対応する Secret リソースの username、password および database 名の値を置き換えます。PostgreSQL サービスと StatefulSet の作成手順をスキップして、次の手順に進むことができます。

   1. データベース情報を保存するための Secret リソースを作成します。

      1. ナビゲーションメニューから Workloads を展開し、Secrets をクリックします。
      2. Project ドロップダウンメニューから keycloak-system を選択します。
      3. Create ドロップダウンメニューをクリックし、Key/Value secret を選択します。
      4. Secret name フィールドに postgresql-db と入力します。
      5. Key フィールドに username を入力します。
      6. Value フィールドに keycloak と入力します。これは、Keycloak が PostgreSQL データベースインスタンスへの認証に使用するユーザー名です。
      7. 別のキーと値のペアを追加するには、Add key/value リンクをクリックします。
      8. Key フィールドに password を入力します。
      9. Value フィールドに任意のパスワードを入力します。これは、Keycloak が PostgreSQL データベースインスタンスへの認証に使用するパスワードです。
      10. 別のキーと値のペアを追加するには、Add key/value リンクをクリックします。
      11. Key フィールドに database を入力します。
      12. Value フィールドに keycloak と入力します。これは、PostgreSQL データベースインスタンス内に Keycloak データを格納するためのデータベースの名前です。
      13. Create ボタンをクリックします。

   2. PostgreSQL サービスと StatefulSet を作成します。

      1. + アイコンをクリックします。
      2. Service および StatefulSet YAML 設定テキスト をコピーし、Import YAML ページでテキストエディターボックスに テキストを貼り付けます。
      3. Create ボタンをクリックして、Service と StatefulSet を keycloak-system プロジェクトに追加します。

4. ワークステーションからターミナルを開き、OpenShift クラスターにログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   $ oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

5. Transport Layer Security (TLS) 証明書と対応する秘密鍵を含めて、新しい Secret リソースを作成します。

   構文

   oc create secret tls SECRET_NAME -n NAMESPACE --cert CERTIFICATE_FILE_NAME --key PRIVATE_KEY_FILE_NAME

   例

   $ oc create secret tls keycloak-tls -n keycloak-system --cert certificate.pem --key key.pem

   注記

   OpenShift のサービス提供証明書は、Keycloak で使用する TLS 証明書の生成と管理を自動化できます。詳細は 付録 を参照してください。

6. OpenShift Web コンソールで、ナビゲーションメニューから Operator を展開し、OperatorHub をクリックします。
7. 検索フィールドに keycloak と入力し、認定済みの Red Hat カタログから Keycloak Operator タイルをクリックします。
8. Install ボタンをクリックして、Operator の詳細を表示します。
9. Install Operator ページで、Installed Namespace ドロップダウンメニューから keycloak-system を選択し、Install ボタンをクリックします。インストールが完了するまで待ちます。
10. インストールが完了したら、View Operator ボタンをクリックします。
11. Keycloak タイルで Create instance をクリックします。

12. Create Keycloak ページで、YAML view を選択します。

    1. name の行で、example-keycloak をカスタム名 (例: keycloak) に置き換えます。

    2. ホスト名は、hostname プロパティー内で明示的に指定することも、他のルートと同様に自動的に生成することもできます。hostname の行で、example.org をカスタムホスト名に置き換えます。

       注記

       OpenShift で Keycloak インスタンスのホスト名を生成するために必要な手順は、付録 を参照してください。

    3. spec セクションの下に、データベースの詳細を追加します。

       例

       spec:
       ...
         db:
           vendor: postgres
           host: postgresql-db
           usernameSecret:
             name: postgresql-db
             key: username
           passwordSecret:
             name: postgresql-db
             key: password
       ...

    4. また、spec セクションの http プロパティーに、TLS 証明書を含む Secret リソースの名前を指定します。

       例

       spec:
       ...
         http:
           tlsSecret: keycloak-tls
       ...

    5. Create ボタンをクリックします。
13. Networking ナビゲーションメニューを展開し、Routes をクリックします。
14. Keycloak 管理コンソールを開くには、Keycloak インスタンスに関連付けられたルートへのリンクをクリックします。
15. admin ユーザーのデフォルトの認証情報は keycloak-initial-admin という Secret に保存されます。パスワードを見つけるには、Workloads ナビゲーションメニューを展開し、Secrets をクリックします。
16. keycloak-initial-admin シークレットを選択します。
17. Data セクションでパスワードキーを探し、 アイコンをクリックします。
18. Keycloak 管理コンソールのログインページで、ユーザー名として admin と入力し、前の手順の内容をパスワードとして貼り付けます。

19. trusted-artifact-signer という新しいレルムを作成します。

    1. ナビゲーションメニューで、Red Hat build of Keycloak ドロップダウンメニューを選択します。
    2. Create Realm を選択します。
    3. リソース名 として trusted-artifact-signer と入力します。
    4. Create をクリックして新しいレルムを作成します。

20. 新しい ユーザー を作成します。新しいユーザーは、Keycloak 管理コンソールにログインでき、RHTAS を使用してコンテナーとコミットに署名することもできます。

    1. ナビゲーションメニューの Manage セクションで、Clients を選択します。
    2. Create Client ボタンをクリックします
    3. Client Id フィールドに、trusted-artifact-signer と入力します。
    4. オプションで、対応するフィールドに 名前 と 説明 を入力できます。
    5. Next をクリックします。
    6. 新しいクライアント作成プロセスの Capability Config ステップでデフォルトオプションを確定します。
    7. Next をクリックします。
    8. Valid redirect URIs フィールドに * と入力します。
    9. Save をクリックしてクライアントを作成します。
21. ナビゲーションメニューの Configure セクションで、Realm Settings を選択して、trusted-artifact-signer レルムの Issuer URL を見つけます。
22. Endpoints の横にある OpenID Endpoint Configuration リンクをクリックします。
23. issuer プロパティーから URL をコピーします。

24. RHTAS の SecureSign リソースの .spec.fulcio.config.OIDCIssuers セクションで、CLIENT_ID を trusted-artifact-signer に置き換え、URL コンテンツを貼り付けてRHBK_REALM_ISSUER_URL を置き換えます。

    構文

    spec:
    ...
      fulcio:
        config:
          OIDCIssuers:
            - ClientID: CLIENT_ID
              Issuer: 'RHBK_REALM_ISSUER_URL'
              IssuerURL: 'RHBK_REALM_ISSUER_URL'
              Type: email
    ...

    例

    spec:
    ...
      fulcio:
        config:
          OIDCIssuers:
            - ClientID: trusted-artifact-signer
              Issuer: 'https://keycloak-ingress-keycloak-system.apps.openshift.example.com/realms/trusted-artifact-signer'
              IssuerURL: 'https://keycloak-ingress-keycloak-system.apps.openshift.example.com/realms/trusted-artifact-signer'
              Type: email
    ...

手順

1. ワークステーションでターミナルを開き、OpenShift にログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   $ oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

2. AWS OIDC プロバイダー URL を検索します。

   例

   $ oc get authentication cluster -o jsonpath='{.spec.serviceAccountIssuer}'

3. RHTAS の設定を更新します。

   1. Securesign リソースを開いて編集します。

      構文

      oc edit Securesign NAME -n NAMESPACE

      例

      $ oc edit Securesign securesign-sample -n trusted-artifact-signer

      注記

      RHTAS インストール用に作成されたプロジェクト名を namespace として使用する必要があります。

   2. OIDCIssuers セクションで、AWS STS クライアント識別子、発行者の URL を含む新しいサブセクションを追加し、Type の値を kubernetes に設定します。

      例

      ...
      OIDCIssuers:
        - Issuer: "https://example.s3.us-east-1.aws.com/47bd6cg0vs5nn01mue83fbof94dj4m9c"
          IssuerURL: "https://example.s3.us-east-1.aws.com/47bd6cg0vs5nn01mue83fbof94dj4m9c"
          ClientID: "trusted-artifact-signer"
          Type: kubernetes
      ...

   3. 変更を保存し、エディターを終了します。数秒後、Operator は RHTAS ソフトウェアスタックを自動的に再設定します。

4. アクセスキー、シークレットキー、デフォルトのリージョン、および出力形式を入力して、AWS コマンドラインツールを設定します。

   例

   $ aws configure

5. 以下の環境変数を設定します。

   例

   $ export account_id=$(aws sts get-caller-identity --query "Account" --output text)
   $ export oidc_provider="$(oc get authentication cluster -o jsonpath='{.spec.serviceAccountIssuer}' | cut -d '/' -f3-)"
   $ export role_name=rhtas-sts
   $ export namespace=rhtas-sts
   $ export service_account=cosign-sts

6. 新しく作成された IAM ロールに関連付けられる信頼ポリシーを作成します。

   例

   $ cat >trust-relationship.json <<EOF
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::${account_id}:oidc-provider/${oidc_provider}"
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringEquals": {
             "${oidc_provider}:aud": "trusted-artifact-signer"
           }
         }
       }
     ]
   }
   EOF

7. 信頼ポリシーを使用して、RHTAS サービスの新しい IAM ロールを作成します。

   例

   $ aws iam create-role --role-name rhtas-sts --assume-role-policy-document file://trust-relationship.json --description "Red Hat Trusted Artifact Signer STS Role"

8. STS が有効になっている OpenShift クラスターで、新しいプロジェクト namespace を作成します。

   構文

   oc new-project NAMESPACE

   例

   $ oc new-project rhtas-sts

9. IAM ロールを一時的に設定して、OpenShift プロジェクトの namespace でワークロードを実行するサービスアカウントを作成します。

   1. サービスアカウントマニフェストを作成します。

      例

      $ cat >service_account.yaml <<EOF
      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: $service_account
        namespace: $namespace
        annotations:
          eks.amazonaws.com/role-arn: "arn:aws:iam::${account_id}:role/${role_name}"
          # optional: Defaults to "sts.amazonaws.com" if not set
          eks.amazonaws.com/audience: "trusted-artifact-signer"
          # optional: When "true", adds AWS_STS_REGIONAL_ENDPOINTS env var to containers
          eks.amazonaws.com/sts-regional-endpoints: "true"
          # optional: Defaults to 86400 for expirationSeconds if not set
          eks.amazonaws.com/token-expiration: "86400"
      EOF

   2. サービスアカウントマニフェストを OpenShift に適用します。

      例

      $ oc apply -f service_account.yaml

10. イメージレジストリーに、コンテナーイメージに署名するデプロイメントワークロードを新たに作成します。

    1. デプロイメントマニフェストを作成します。

       例

       $ cat >deployment.yaml <<EOF
       apiVersion: apps/v1
       kind: Deployment
       metadata:
         name: cosign-sts
         namespace: ${namespace}
       spec:
         selector:
           matchLabels:
             app: cosign-sts
         template:
           metadata:
             labels:
               app: cosign-sts
           spec:
             securityContext:
               runAsNonRoot: true
             serviceAccountName: cosign-sts
             containers:
             - args:
               - -c
               - env; cosign initialize --mirror=\$COSIGN_MIRROR --root=\$COSIGN_ROOT; while true; do sleep 86400; done
               command:
               - /bin/sh
               name: cosign
               image: registry.redhat.io/rhtas-tech-preview/cosign-rhel9@sha256:f4c2cec3fc1e24bbe094b511f6fe2fe3c6fa972da0edacaf6ac5672f06253a3e
               pullPolicy: IfNotPresent
               env:
               - name: AWS_ROLE_SESSION_NAME
                 value: signer-identity-session
               - name: AWS_REGION
                 value: us-east-1
               - name: OPENSHIFT_APPS_SUBDOMAIN
                 value: $(oc get cm -n openshift-config-managed  console-public -o go-template="{{ .data.consoleURL }}" | sed 's@https://@@; s/^[^.]*\.//')
               - name: OIDC_AUTHENTICATION_REALM
                 value: "trusted-artifact-signer"
               - name: COSIGN_FULCIO_URL
                 value: $(oc get fulcio -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
               - name: COSIGN_OIDC_ISSUER
                 value: $(oc get authentication cluster -o jsonpath='{.spec.serviceAccountIssuer}')
               - name: COSIGN_CERTIFICATE_OIDC_ISSUER
                 value: $(oc get authentication cluster -o jsonpath='{.spec.serviceAccountIssuer}')
               - name: COSIGN_REKOR_URL
                 value: $(oc get rekor -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
               - name: COSIGN_MIRROR
                 value: $(oc get tuf -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
               - name: COSIGN_ROOT
                 value: "$(oc get tuf -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)/root.json"
               - name: COSIGN_YES
                 value: "true"
               securityContext:
                 allowPrivilegeEscalation: false
                 capabilities:
                   drop:
                   - ALL
             dnsPolicy: ClusterFirst
             restartPolicy: Always
             schedulerName: default-scheduler
             securityContext:
               runAsNonRoot: true
             serviceAccount: ${service_account}
             serviceAccountName: ${service_account}
             terminationGracePeriodSeconds: 30
       EOF

    2. デプロイメントマニフェストを OpenShift に適用します。

       例

       $ oc apply -f deployment.yaml

11. 署名するテストコンテナーイメージを作成します。

    1. 空のコンテナーイメージを作成します。

       例

       $ echo "FROM scratch" > ./tmp.Dockerfile
       $ podman build . -f ./tmp.Dockerfile -t ttl.sh/rhtas/test-image:1h

    2. 空のコンテナーイメージを ttl.sh 一時レジストリーにプッシュします。

       例

       $ podman push ttl.sh/rhtas/test-image:1h

    3. 一時的な Docker ファイルを削除します。

       例

       $ rm ./tmp.Dockerfile

12. テストコンテナーイメージに署名して検証することで、設定を検証します。

    1. 実行中の Pod 内でリモートシェルセッションを開きます。

       構文

       oc rsh -n NAMESPACE deployment/cosign-sts env IMAGE=IMAGE_NAME:TAG /bin/sh

       例

       $ oc rsh -n rhtas-sts deployment/cosign-sts env IMAGE=ttl.sh/rhtas/test-image:1h /bin/sh

    2. コンテナーイメージに署名します。

       例

       $ cosign sign -y --identity-token=$(cat $AWS_WEB_IDENTITY_TOKEN_FILE) ttl.sh/rhtas/test-image:1h

    3. 署名済みコンテナーイメージを確認します。

       例

       $ cosign verify --certificate-identity=https://kubernetes.io/namespaces/$(cat /var/run/secrets/kubernetes.io/serviceaccount/namespace)/serviceaccounts/cosign-sts --certificate-oidc-issuer=$COSIGN_CERTIFICATE_OIDC_ISSUER ttl.sh/rhtas/test-image:1h

手順

1. ワークステーションでターミナルを開き、OpenShift にログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   $ oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

2. Red Hat SSO コンソールにログインします。

   1. コマンドラインから Red Hat SSO コンソール URL を見つけます。

      例

      $ oc get routes -n keycloak-system keycloak -o jsonpath='https://{.spec.host}'

   2. Red Hat SSO コンソールの URL をコピーして、Web ブラウザーに貼り付けます。
   3. Administration Console をクリックします。

   4. コマンドラインから admin パスワードを取得します。

      例

      $ oc get secret/credential-keycloak -n keycloak-system -o jsonpath='{ .data.ADMIN_PASSWORD }' | base64 -d

      このコマンドの出力をコピーします。

   5. Web ブラウザーから admin ユーザーとしてログインし、対応するフィールドにパスワードを貼り付けます。Sign In ボタンをクリックします。
3. ナビゲーションメニューのドロップダウンからレルムを選択します。

4. GitHub アイデンティティープロバイダーを追加します。

   1. ナビゲーションメニューから、Identity Providers をクリックします。
   2. Add provider… ドロップダウンメニューから、GitHub を選択します。
   3. GitHub OAuth クライアント識別子を Client ID フィールドに追加します。
   4. GitHub OAuth クライアントシークレットを Client Secret フィールドに追加します。
   5. Trust Email オプションを on にします。
   6. Save ボタンをクリックします。

5. 新しく作成されたアイデンティティープロバイダーにアイデンティティープロバイダーマッパーを追加します。

   1. Mapper タブをクリックします。
   2. Create ボタンをクリックします。
   3. 新しいマッパーに Name を付けます。
   4. Mapper Type を Hardcoded Attribute に変更します。
   5. User Attribute フィールドを emailVerified に設定します。
   6. User Attribute Value フィールドを true に設定します。
   7. Save ボタンをクリックします。
6. GitHub Identity Provider Settings ページから、Redirect URI 値をコピーし、GitHub OAuth アプリケーション Authorization Callback URL フィールドに貼り付けます。また、同じ値を Homepage URL フィールドに貼り付けますが、URL 文字列の broker/github/endpoint の部分を削除します。
7. Update Application をクリックします。GitHub を OIDC プロバイダーとして使用して、コミット や コンテナー に署名できるようになりました。
8. アーティファクトに署名すると、Web ブラウザーが開き、Red Hat SSO アカウントにサインインするように求められます。GitHub ボタンをクリックして、認証情報でサインインします。
9. Authorize ボタンをクリックして、Red Hat SSO が GitHub ユーザーの詳細にアクセスできるようにします。

手順

1. ワークステーションでターミナルを開きます。

2. クライアントを表す Microsoft Entra ID 内にアプリケーション登録を作成します。

   例

   $ export RHTAS_APP_REGISTRATION=$(az ad app create --display-name=rhtas --web-redirect-uris=http://localhost:0/auth/callback --enable-id-token-issuance --query appId -o tsv)

3. ユーザーがアプリケーション登録を使用して ID トークンを取得できるようにする新しいクライアントシークレットを作成します。

   例

   $ export RHTAS_APP_REGISTRATION_CLIENT_SECRET=$(az ad app credential reset --id=$RHTAS_APP_REGISTRATION --display-name="RHTAS Client Secret" -o tsv --query 'password')

   注記

   デフォルトでは、クライアントシークレットの有効期間は 1 年間のみです。この値は --years または --end-date フラグを使用してカスタマイズできます。

4. 新しいクレームマッピングポリシーを作成して、email_verified という名前の新しい JWT クレームを定義し、静的な値 true を使用します。

   例

   $ az rest -m post --headers Content-Type=application/json --uri https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies --body '{"definition": ["{\"ClaimsMappingPolicy\":{\"Version\":1,\"IncludeBasicClaimSet\":\"true\", \"ClaimsSchema\":[{\"value\":\"true\",\"JwtClaimType\":\"email_verified\"}]}}"],"displayName": "EmailVerified"}'

5. アプリケーション登録オブジェクト ID を取得します。

   例

   $ export RHTAS_APP_REGISTRATION_OBJ_ID=$(az ad app show --id $RHTAS_APP_REGISTRATION --output tsv --query id)

6. アプリケーション登録のマニフェストを更新します。

   例

   $ az rest --method PATCH --uri https://graph.microsoft.com/v1.0/applications/${RHTAS_APP_REGISTRATION_OBJ_ID} --headers 'Content-Type=application/json' --body "{\"api\":{\"acceptMappedClaims\":true}}"

7. 新しいサービスプリンシパルを作成し、それをアプリケーション登録に関連付けます。

   例

   $ export SERVICE_PRINCIPAL_ID=$(az ad sp create --id=${RHTAS_APP_REGISTRATION} -o tsv --query 'id')

8. クレームマッピングポリシー ID を取得します。

   例

   $ export CLAIM_MAPPING_POLICY_ID=$(az rest --uri https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies -o tsv --query "value[?displayName=='EmailVerified'] | [0].id")

9. クレームマッピングポリシーをサービスプリンシパルに関連付けます。

   例

   $ az rest -m post --headers Content-Type=application/json --uri "https://graph.microsoft.com/v1.0/servicePrincipals/${SERVICE_PRINCIPAL_ID}/claimsMappingPolicies/\$ref" --body "{\"@odata.id\": \"https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/${CLAIM_MAPPING_POLICY_ID}\"}"

10. テナント ID を取得します。

    例

    $ export TENANT_ID=$(az account show -o tsv --query tenantId)

11. OIDC エンドポイントを取得します。

    例

    $ export ENTRA_ID_OIDC_ENDPOINT=$(echo https://login.microsoftonline.com/${TENANT_ID}/v2.0)

12. RHTAS 設定を更新します。

    1. Securesign リソースを開いて編集します。

       構文

       oc edit Securesign NAME -n NAMESPACE

       例

       $ oc edit Securesign securesign-sample -n trusted-artifact-signer

       注記

       RHTAS インストール用に作成されたプロジェクト名を namespace として使用する必要があります。

    2. OIDCIssuers セクションで、クライアント ID、発行者の URL を含む新しいサブセクションを追加し、Type 値を email に設定します。

       構文

       ...
       OIDCIssuers:
         - Issuer: "${ENTRA_ID_OIDC_ENDPOINT}"
           IssuerURL: "${ENTRA_ID_OIDC_ENDPOINT}"
           ClientID: "${RHTAS_APP_REGISTRATION}"
           Type: email
       ...

    3. 変更を保存し、エディターを終了します。数秒後、Operator は RHTAS ソフトウェアスタックを自動的に再設定します。

13. ローカルクライアントシークレットファイルを作成します。

    例

    $ echo $RHTAS_APP_REGISTRATION_CLIENT_SECRET > rhtas-entra-id-client-secret

14. アーティファクトに署名するためのシェル環境を設定します。

    例

    $ export TUF_URL=$(oc get tuf -n trusted-artifact-signer -o jsonpath='{.items[0].status.url}')
    $ export OIDC_ISSUER_URL=$(oc get securesign -n trusted-artifact-signer rhtas -o jsonpath='{ .spec.fulcio.config.OIDCIssuers[0].Issuer }')
    $ export COSIGN_REKOR_URL=$(oc get rekor -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
    $ export COSIGN_MIRROR=$TUF_URL
    $ export COSIGN_ROOT=$TUF_URL/root.json
    $ export COSIGN_OIDC_CLIENT_ID=$RHTAS_APP_REGISTRATION
    $ export SIGSTORE_OIDC_CLIENT_ID=$COSIGN_OIDC_CLIENT_ID
    $ export COSIGN_OIDC_ISSUER=$OIDC_ISSUER_URL
    $ export COSIGN_CERTIFICATE_OIDC_ISSUER=$OIDC_ISSUER_URL
    $ export COSIGN_YES="true"
    $ export COSIGN_FULCIO_URL=$(oc get fulcio -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
    $ export SIGSTORE_FULCIO_URL=$COSIGN_FULCIO_URL
    $ export SIGSTORE_OIDC_ISSUER=$COSIGN_OIDC_ISSUER
    $ export SIGSTORE_REKOR_URL=$COSIGN_REKOR_URL
    $ export COSIGN_OIDC_CLIENT_SECRET_FILE=$(pwd)/rhtas-entra-id-client-secret

15. 署名のためにローカルマシンを初期化します。

    例

    $ cosign initialize

16. テストコンテナーイメージに署名して、更新された設定を確認します。

    1. 空のコンテナーイメージを作成します。

       例

       $ echo "FROM scratch" > ./tmp.Dockerfile
       $ podman build . -f ./tmp.Dockerfile -t ttl.sh/rhtas/test-image:1h

    2. 空のコンテナーイメージを ttl.sh 一時レジストリーにプッシュします。

       例

       $ podman push ttl.sh/rhtas/test-image:1h

    3. 一時的な Docker ファイルを削除します。

       例

       $ rm ./tmp.Dockerfile

    4. コンテナーイメージに署名します。

       構文

       cosign sign -y --oidc-client-secret-file=SECRET_FILE IMAGE_NAME:TAG

       例

       $ cosign sign -y --oidc-client-secret-file=rhtas-entra-id-client-secret ttl.sh/rhtas/test-image:1h

       Web ブラウザーが開いて、コンテナーイメージをメールアドレスで署名できます。

手順

1. Amazon RDS コンソール を開き、新しい MariaDB インスタンスを 作成 します。

   1. MariaDB インスタンスがデプロイされ、利用可能になるまで待ちます。

2. ワークステーションから、リージョンエンドポイント、ポート、およびユーザー認証情報を指定して、新しいデータベースにログインします。

   構文

   mysql -h REGIONAL_ENDPOINT -P 3306 -u USER_NAME -p

   例

   $ mysql -h exampledb.1234.us-east-1.rds.amazonaws.com -P 3306 -u admin -p

3. trillian という名前の新規データベースを作成します。

   例

   create database trillian;

4. 新規作成したデータベースに切り替えます。

   例

   use trillian;

5. trillian という名前の新しいデータベースユーザーを作成し、新しく作成したユーザーに PASSWORD を設定します。

   構文

   CREATE USER trillian@'%' IDENTIFIED BY 'PASSWORD';
   GRANT ALL PRIVILEGES ON trillian.* TO 'trillian'@'%';
   FLUSH PRIVILEGES;

6. データベースから切断します。

   例

   EXIT

7. データベース設定ファイルをダウンロードします。

   例

   $ curl -o dbconfig.sql https://raw.githubusercontent.com/securesign/trillian/main/storage/mysql/schema/storage.sql

8. データベース設定を新しいデータベースに適用します。

   構文

   mysql -h FQDN_or_SERVICE_ADDR -P 3306 -u USER_NAME -p PASSWORD -D DB_NAME < PATH_TO_CONFIG_FILE

   例

   $ mysql -h rhtasdb.example.com -P 3306 -u trillian -p mypassword123 -D trillian < dbconfig.sql

9. ワークステーションでターミナルを開き、OpenShift にログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   $ oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

10. 以前に作成した MariaDB インスタンス内の Trillian データベースの認証情報を含む新しい Secret を作成します。

    構文

    oc create secret generic OBJECT_NAME \
    --from-literal=mysql-database=trillian \
    --from-literal=mysql-host=FQDN_or_SERVICE_ADDR \
    --from-literal=mysql-password=PASSWORD \
    --from-literal=mysql-port=3306 \
    --from-literal=mysql-root-password=PASSWORD \
    --from-literal=mysql-user=USER_NAME

    例

    $ oc create secret generic trillian-mysql \
    --from-literal=mysql-database=trillian \
    --from-literal=mysql-host=mariadb.trusted-artifact-signer.svc.cluster.local \
    --from-literal=mysql-password=mypassword123 \
    --from-literal=mysql-port=3306 \
    --from-literal=mysql-root-password=myrootpassword123 \
    --from-literal=mysql-user=trillian

    MariaDB インスタンスには OpenShift 内部サービス名を使用できます。

11. これで、このデータベースを使用するために Trusted Artifact Signer サービスをデプロイできるようになりました。Trusted Artifact Signer のインストール手順に従っていた場合は、次の手順 に進むことができます。

手順

1. RHTAS サービスをデプロイしている OpenShift Web コンソールにログインします。
2. Developer パースペクティブに切り替えます。

3. プロジェクトがすでに存在する場合は、trusted-artifact-signer プロジェクトを選択し、存在しない場合はデータベース用に新しいプロジェクトを作成します。

   1. 新規プロジェクトを作成するには、ドロップダウンプロジェクトメニューをクリックして、Create Project ボタンをクリックします。
   2. 新規プロジェクトに trusted-artifact-signer という名前を付けて、Create ボタンをクリックします。
4. Developer Catalog カードで Database をクリックします。

5. MariaDB を選択し、Instantiate Template ボタンをクリックします。

   重要

   MariaDB (Ephemeral) を選択しないでください。

6. Instantiate Template ページで、以下のフィールドを設定します。

   1. MariaDB データベース名 フィールドに trillian と入力します。
   2. Volume Capacity フィールドに 5Gi を入力します。
   3. Create ボタンをクリックします。

7. リモートシェルセッションを開始します。

   1. Topology ページで MariaDB Pod を選択するとサイドパネルが表示されるので、Resources タブをクリックします。
   2. Pods セクションで、MariaDB の Pod 名をクリックします。
   3. Terminal タブをクリックして、MariaDB Pod へのリモートシェルセッションを開始します。

8. リモートシェルセッションで、Trillian データベースに接続できることを確認します。

   例

   $ mysql -u $MYSQL_USER -p$MYSQL_PASSWORD -D$MYSQL_DATABASE

   注記

   認証情報は、サービス名 (mariadb) と一緒にシークレットオブジェクトに保存され、これにはデータベースの名前、ユーザー名、およびデータベースのルートパスワードが含まれます。これらの認証情報は、後でデータベースシークレットオブジェクトを作成するときに使用されるため、メモしておいてください。

9. データベースから切断します。

   例

   EXIT

10. データベース設定ファイルをダウンロードします。

    例

    $ curl -o dbconfig.sql https://raw.githubusercontent.com/securesign/trillian/main/storage/mysql/schema/storage.sql

11. データベース設定を新しいデータベースに適用します。

    構文

    mysql -h FQDN_or_SERVICE_ADDR -P 3306 -u USER_NAME -p PASSWORD -D DB_NAME < PATH_TO_CONFIG_FILE

    例

    $ mysql -h rhtasdb.example.com -P 3306 -u trillian -p mypassword123 -D trillian < dbconfig.sql

12. ワークステーションでターミナルを開き、OpenShift にログインします。

    構文

    oc login --token=TOKEN --server=SERVER_URL_AND_PORT

    例

    $ oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

    注記

    OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

13. 以前に作成した MariaDB インスタンス内の Trillian データベースの認証情報を含む新しい Secret を作成します。

    構文

    oc create secret generic OBJECT_NAME \
    --from-literal=mysql-database=trillian \
    --from-literal=mysql-host=FQDN_or_SERVICE_ADDR \
    --from-literal=mysql-password=PASSWORD \
    --from-literal=mysql-port=3306 \
    --from-literal=mysql-root-password=PASSWORD \
    --from-literal=mysql-user=USER_NAME

    例

    $ oc create secret generic trillian-mysql \
    --from-literal=mysql-database=trillian \
    --from-literal=mysql-host=mariadb.trusted-artifact-signer.svc.cluster.local \
    --from-literal=mysql-password=mypassword123 \
    --from-literal=mysql-port=3306 \
    --from-literal=mysql-root-password=myrootpassword123 \
    --from-literal=mysql-user=trillian

    MariaDB インスタンスには OpenShift 内部サービス名を使用できます。

14. これで、このデータベースを使用するために Trusted Artifact Signer サービスをデプロイできるようになりました。Trusted Artifact Signer のインストール手順に従っていた場合は、次の手順 に進むことができます。