2.2. The Update Framework

手順

1. ローカルのコマンドラインインターフェイス (CLI) ツールのダウンロードページから tuftool バイナリーをワークステーションにダウンロードします。

   注記

   URL アドレスは、tas_single_node_base_hostname 変数によって定義された設定済みノードです。tas_single_node_base_hostname の値が example.com の場合、URL アドレスの例は https://cli-server.example.com です。

   重要

   現在、tuftool バイナリーは、x86_64 アーキテクチャー上の Linux オペレーティングシステムでのみ使用できます。

   1. ダウンロードページから、tuftool のダウンロードセクションに移動し、プラットフォームのリンクをクリックします。

   2. ワークステーションでターミナルを開き、バイナリー .gz ファイルを展開し、実行ビットを設定します。

      例

      gunzip tuftool-amd64.gz
      chmod +x tuftool-amd64

      Copy to Clipboard Toggle word wrap

   3. バイナリーを $PATH 環境内の場所に移動し、名前を変更します。

      例

      sudo mv tuftool-amd64 /usr/local/bin/tuftool

      Copy to Clipboard Toggle word wrap

2. シェル環境を設定します。

   例

   export WORK="${HOME}/trustroot-example"
   export ROOT="${WORK}/root/root.json"
   export KEYDIR="${WORK}/keys"
   export INPUT="${WORK}/input"
   export TUF_REPO="${WORK}/tuf-repo"
   export MANAGED_NODE_IP=IP_OF_ANSIBLE_MANAGED_NODE
   export MANAGED_NODE_SSH_USER=USER_TO_CONNECT_TO_MANAGED_NODE
   export REMOTE_KEYS_VOLUME=$(ssh ${MANAGED_NODE_SSH_USER}@${MANAGED_NODE_IP} -t "sudo podman volume mount tuf-signing-keys" | tr -d '[:space:]')
   export REMOTE_TUF_VOLUME=$(ssh ${MANAGED_NODE_SSH_USER}@${MANAGED_NODE_IP} -t "sudo podman volume mount tuf-repository" | tr -d '[:space:]')
   export TIMESTAMP_EXPIRATION="in 10 days"
   export SNAPSHOT_EXPIRATION="in 26 weeks"
   export TARGETS_EXPIRATION="in 26 weeks"
   export ROOT_EXPIRATION="in 26 weeks"

   Copy to Clipboard Toggle word wrap

   IP_OF_ANSIBLE_MANAGED_NODE と USER_TO_CONNECT_TO_MANAGED_NODE を適切な値に置き換えます。

   要件に応じて有効期限を設定します。

3. 一時的な TUF ディレクトリー構造を作成します。

   例

   mkdir -p "${WORK}/root/" "${KEYDIR}" "${INPUT}" "${TUF_REPO}"

   Copy to Clipboard Toggle word wrap

4. TUF コンテンツを一時的な TUF ディレクトリー構造にダウンロードします。

   例

   rsync -r --rsync-path="sudo rsync" ${MANAGED_NODE_SSH_USER}@${MANAGED_NODE_IP}:"${REMOTE_KEYS_VOLUME}/" "${KEYDIR}"
   rsync -r --rsync-path="sudo rsync" ${MANAGED_NODE_SSH_USER}@${MANAGED_NODE_IP}:"${REMOTE_TUF_VOLUME}/" "${TUF_REPO}"
   cp "${TUF_REPO}/root.json" "${ROOT}"

   Copy to Clipboard Toggle word wrap

5. タイムスタンプ、スナップショット、ターゲットのメタデータをすべて 1 つのコマンドで更新できます。

   例

   tuftool update \
     --root "${ROOT}" \
     --key "${KEYDIR}/timestamp.pem" \
     --key "${KEYDIR}/snapshot.pem" \
     --key "${KEYDIR}/targets.pem" \
     --timestamp-expires "${TIMESTAMP_EXPIRATION}" \
     --snapshot-expires "${SNAPSHOT_EXPIRATION}" \
     --targets-expires "${TARGETS_EXPIRATION}" \
     --outdir "${TUF_REPO}" \
     --metadata-url "file://${TUF_REPO}"

   Copy to Clipboard Toggle word wrap

   注記

   TUF メタデータファイルのサブセットに対して TUF メタデータ更新を実行することもできます。たとえば、timestamp.json メタデータファイルは、他のメタデータファイルよりも頻繁に期限切れになります。したがって、次のコマンドを実行するだけで、タイムスタンプメタデータファイルを更新できます。

   tuftool update \
     --root "${ROOT}" \
     --key "${KEYDIR}/timestamp.pem" \
     --timestamp-expires "${TIMESTAMP_EXPIRATION}" \
     --outdir "${TUF_REPO}" \
     --metadata-url "file://${TUF_REPO}"

   Copy to Clipboard Toggle word wrap

6. ルートの有効期限が切れそうな場合にのみ、有効期限を更新します。

   例

   tuftool root expire "${ROOT}" "${ROOT_EXPIRATION}"

   Copy to Clipboard Toggle word wrap

   注記

   ルートファイルの有効期限がまだ先の場合は、この手順をスキップできます。

7. ルートバージョンを更新します。

   例

   tuftool root bump-version "${ROOT}"

   Copy to Clipboard Toggle word wrap

8. ルートメタデータファイルに再度署名します。

   例

   tuftool root sign "${ROOT}" -k "${KEYDIR}/root.pem"

   Copy to Clipboard Toggle word wrap

9. 新しいルートバージョンを設定し、ルートメタデータファイルを所定の場所にコピーします。

   例

   export NEW_ROOT_VERSION=$(cat "${ROOT}" | jq -r ".signed.version")
   cp "${ROOT}" "${TUF_REPO}/root.json"
   cp "${ROOT}" "${TUF_REPO}/${NEW_ROOT_VERSION}.root.json"

   Copy to Clipboard Toggle word wrap

10. これらの変更を TUF サーバーにアップロードします。

    1. TUF リポジトリーの圧縮アーカイブを作成します。

       例

       tar -C "${WORK}" -czvf repository.tar.gz tuf-repo

       Copy to Clipboard Toggle word wrap

    2. 次の 2 行を追加して RHTAS Ansible Playbook を更新します。

       例

       tas_single_node_trust_root:
         full_archive: "{{ lookup('file', 'repository.tar.gz') | b64encode }}"

       Copy to Clipboard Toggle word wrap

    3. 変更を適用するには、RHTAS Anisble Playbook を実行します。

       例

       ansible-playbook -i inventory play.yml

       Copy to Clipboard Toggle word wrap