第3章 オフライン環境で署名されたアーティファクトを検証する

手順

1. 署名環境で、次の手順を実行します。

   1. cosign を使用してイメージに署名します。

      構文

      cosign sign IMAGE_NAME:TAG

      Copy to Clipboard

      例

      cosign sign -y ttl.sh/rhtas/example-image:1h

      Copy to Clipboard

   2. 信頼ルート URL を取得します。

      1. Red Hat Enterprise Linux 上の RHTAS デプロイメントの場合:

         例

         export BASE_HOSTNAME=BASE_HOSTNAME_OF_RHTAS_SERVICE
         export TUF_SERVER_URL=https://tuf.${BASE_HOSTNAME}

         Copy to Clipboard

      2. Red Hat OpenShift Container Platform 上の RHTAS デプロイメントの場合:

         例

         export TUF_SERVER_URL="$(oc get tuf -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)"

         Copy to Clipboard

   3. 信頼ルートのクローンをローカルに作成します。

      例

      export TUF_REPOSITORY="${HOME}/repository"
      tuftool clone --allow-root-download --metadata-dir "${TUF_REPOSITORY}" --targets-dir "${TUF_REPOSITORY}/targets" --metadata-url "${TUF_SERVER_URL}" --targets-url "${TUF_SERVER_URL}/targets"

      Copy to Clipboard

   4. 信頼ルートの圧縮アーカイブファイルを作成します。

      例

      tar -czvf repository.tar.gz "${TUF_REPOSITORY}"
      sha256sum repository.tar.gz

      Copy to Clipboard

      後でオフライン環境で使用するために、チェックサムの出力をメモしておきます。

   5. 圧縮されたアーカイブファイルをオフライン環境にコピーします。

      重要

      The Update Framework (TUF) メタデータファイルを更新するたび、または RHTAS コンポーネントキーと証明書をローテーションするたびに、Trust Root の圧縮アーカイブファイルをコピーする必要があります。

2. オフライン環境では、次の手順を実行します。

   1. 信頼ルートの圧縮アーカイブファイルをコピーしたディレクトリーに変更します。

   2. 署名環境のチェックサム値を使用してチェックサムを検証します。

      例

      echo "SHA256_CHECKSUM repository.tar.gz" > checksum.txt
      sha256sum --check checksum.txt || echo "Archive integrity compromised, don't continue with the procedure\!"

      Copy to Clipboard

      重要

      整合性チェックが成功した場合のみ続行します。

   3. 圧縮されたアーカイブファイルを展開します。

      例

      tar -xzvf repository.tar.gz

      Copy to Clipboard

3. cosign を初期化します。

   例

   cd repository/
   cosign initialize --mirror=file://$(pwd)/ --root=$(pwd)/1.root.json

   Copy to Clipboard

4. 署名されたアーティファクトを検証します。

   例

   export IMAGE="IMAGE_NAME:TAG"
   export SIGNING_EMAIL_ADDR=SIGNING_EMAIL_ADDRESS
   export SIGNING_OIDC_ISSUER=OIDC_ISSUER_URL
   cosign verify --certificate-identity="${SIGNING_EMAIL_ADDR}" --certificate-oidc-issuer="${SIGNING_OIDC_ISSUER}" "${IMAGE}"

   Copy to Clipboard