1.4. 追加の OpenID Connect プロバイダーの設定

手順

1. ワークステーションでターミナルを開き、OpenShift にログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

2. RHTAS 設定を更新します。

   1. Securesign リソースを開いて編集します。

      構文

      oc edit Securesign NAME -n NAMESPACE

      例

      oc edit Securesign securesign-sample -n trusted-artifact-signer

      注記

      RHTAS インストール用に作成されたプロジェクト名を namespace として使用する必要があります。

   2. OIDCIssuers セクションで、Google クライアント ID、発行者の URL を含む新しいサブセクションを追加し、Type 値を email に設定します。

      構文

      ...
      OIDCIssuers:
        - Issuer: "https://accounts.google.com"
          IssuerURL: "https://accounts.google.com"
          ClientID: "CLIENT_ID"
          Type: email
      ...

      Google クライアント識別子を ClientID フィールドに追加します。

   3. 変更を保存し、エディターを終了します。数秒後、Operator は RHTAS ソフトウェアスタックを自動的に再設定します。

3. OIDC 発行者とクライアント ID 環境変数を Google を使用するように変更します。

   例

   export OIDC_ISSUER_URL=https://accounts.google.com
   export COSIGN_OIDC_CLIENT_ID="314919563931-35zke44ouf2oiztjg7v8o8c2ge9usnd1.apps.googleexample.com"

4. Google コンソールからプレーンテキストファイルにシークレットをコピーして貼り付けます。

   構文

   echo SECRET > my-google-client-secret

5. RHTAS サービスがすでに実行されている場合は、テストコンテナーイメージに署名して更新された設定を確認できます。

   1. 空のコンテナーイメージを作成します。

      例

      echo "FROM scratch" > ./tmp.Dockerfile
      podman build . -f ./tmp.Dockerfile -t ttl.sh/rhtas/test-image:1h

   2. 空のコンテナーイメージを ttl.sh 一時レジストリーにプッシュします。

      例

      podman push ttl.sh/rhtas/test-image:1h

   3. 一時的な Docker ファイルを削除します。

      例

      rm ./tmp.Dockerfile

   4. コンテナーイメージに署名します。

      構文

      cosign sign -y --oidc-client-secret-file=SECRET_FILE IMAGE_NAME:TAG

      例

      cosign sign -y --oidc-client-secret-file=my-google-client-secret ttl.sh/rhtas/test-image:1h

      Web ブラウザーが開いて、コンテナーイメージをメールアドレスで署名できます。

手順

1. cluster-admin ロールを持つユーザーで OpenShift Web コンソールにログインします。

2. Keycloak サービスをデプロイする新規プロジェクトを作成します。

   1. Administrator パースペクティブのナビゲーションメニューから Home を展開し、Projects をクリックします。
   2. Create Project ボタンをクリックします。
   3. 新しい project name は keycloak-system で、Create ボタンをクリックします。
3. ナビゲーションメニューから Operators を展開し、OperatorHub をクリックします。
4. 検索フィールドに sso と入力し、Red Hat Single Sign-on タイルをクリックします。
5. Install ボタンをクリックして、Operator の詳細を表示します。
6. まだ設定されていない場合は、Installed Namespace ドロップダウンメニューから keycloak-system を選択します。
7. Install Operator ページで Install をクリックし、インストールが完了するまで待ちます。
8. インストールが完了したら、View Operator をクリックします。

9. ワークステーションターミナルから、OpenShift クラスターにログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

10. Keycloak プロジェクトに切り替えます。

    例

    oc project keycloak-system

11. Keycloak インスタンスを作成します。

    例

    cat <<EOF | oc apply -f -
    apiVersion: keycloak.org/v1alpha1
    kind: Keycloak
    metadata:
      labels:
        app: sso
      name: keycloak
    spec:
      externalAccess:
        enabled: true
      instances: 1
      keycloakDeploymentSpec:
        imagePullPolicy: Always
      postgresDeploymentSpec:
        imagePullPolicy: Always
    EOF

12. Keycloak レルムを作成します。

    例

    cat <<EOF | oc apply -f -
    apiVersion: keycloak.org/v1alpha1
    kind: KeycloakRealm
    metadata:
      labels:
        app: sso
      name: trusted-artifact-signer
    spec:
      instanceSelector:
        matchLabels:
          app: sso
      realm:
        displayName: Red-Hat-Trusted-Artifact-Signer
        enabled: true
        id: trusted-artifact-signer
        realm: trusted-artifact-signer
        sslRequired: none
    EOF

13. Keycloak クライアントを作成します。

    例

    cat <<EOF | oc apply -f -
    apiVersion: keycloak.org/v1alpha1
    kind: KeycloakClient
    metadata:
      labels:
        app: sso
      name: trusted-artifact-signer
    spec:
      client:
        attributes:
          request.object.signature.alg: RS256
          user.info.response.signature.alg: RS256
        clientAuthenticatorType: client-secret
        clientId: trusted-artifact-signer
        defaultClientScopes:
        - profile
        - email
        description: Client for Red Hat Trusted Artifact Signer authentication
        directAccessGrantsEnabled: true
        implicitFlowEnabled: false
        name: trusted-artifact-signer
        protocol: openid-connect
        protocolMappers:
        - config:
            claim.name: email
            id.token.claim: "true"
            jsonType.label: String
            user.attribute: email
            userinfo.token.claim: "true"
          name: email
          protocol: openid-connect
          protocolMapper: oidc-usermodel-property-mapper
        - config:
            claim.name: email-verified
            id.token.claim: "true"
            user.attribute: emailVerified
            userinfo.token.claim: "true"
          name: email-verified
          protocol: openid-connect
          protocolMapper: oidc-usermodel-property-mapper
        - config:
            claim.name: aud
            claim.value: trusted-artifact-signer
            id.token.claim: "true"
            access.token.claim: "true"
            userinfo.token.claim: "true"
          name: audience
          protocol: openid-connect
          protocolMapper: oidc-hardcoded-claim-mapper
        publicClient: true
        standardFlowEnabled: true
        redirectUris:
        - "*"
      realmSelector:
        matchLabels:
          app: sso
    EOF

14. Keycloak ユーザーを作成します。

    例

    cat <<EOF | oc apply -f -
    apiVersion: keycloak.org/v1alpha1
    kind: KeycloakUser
    metadata:
      labels:
        app: sso
      name: jdoe
    spec:
      realmSelector:
        matchLabels:
          app: sso
      user:
        email: jdoe@redhat.com
        enabled: true
        emailVerified: true
        credentials:
          - type: "password"
            value: "secure"
        firstName: Jane
        lastName: Doe
        username: jdoe
    EOF

    ユーザー名、ユーザーのメールアドレス、パスワードを設定するか、秘密オブジェクトを参照します。

15. OpenShift Web コンソールに戻り、All instances タブをクリックして監視し、Keycloak システムが正常に初期化されるまで待ちます。

手順

1. cluster-admin ロールを持つユーザーで OpenShift Web コンソールにログインします。

2. Keycloak サービスをデプロイする新規プロジェクトを作成します。

   1. Administrator パースペクティブのナビゲーションメニューから Home を展開し、Projects をクリックします。
   2. Create Project ボタンをクリックします。
   3. 新しいプロジェクト名は keycloak-system で、Create ボタンをクリックします。

3. 永続データを保存するために Keycloak が使用する PostgreSQL インスタンスをデプロイします。

   重要

   Keycloak で使用するデータベースがすでに存在する場合は、データベースインスタンスに対応する Secret リソースの username、password および database 名の値を置き換えます。PostgreSQL サービスと StatefulSet の作成手順をスキップして、次の手順に進むことができます。

   1. データベース情報を保存するための Secret リソースを作成します。

      1. ナビゲーションメニューから Workloads を展開し、Secrets をクリックします。
      2. Project ドロップダウンメニューから keycloak-system を選択します。
      3. Create ドロップダウンメニューをクリックし、Key/Value secret を選択します。
      4. Secret name フィールドに postgresql-db と入力します。
      5. Key フィールドに username を入力します。
      6. Value フィールドに keycloak と入力します。これは、Keycloak が PostgreSQL データベースインスタンスへの認証に使用するユーザー名です。
      7. 別のキーと値のペアを追加するには、Add key/value リンクをクリックします。
      8. Key フィールドに password を入力します。
      9. Value フィールドに任意のパスワードを入力します。これは、Keycloak が PostgreSQL データベースインスタンスへの認証に使用するパスワードです。
      10. 別のキーと値のペアを追加するには、Add key/value リンクをクリックします。
      11. Key フィールドに database を入力します。
      12. Value フィールドに keycloak と入力します。これは、PostgreSQL データベースインスタンス内に Keycloak データを格納するためのデータベースの名前です。
      13. Create ボタンをクリックします。

   2. PostgreSQL サービスと StatefulSet を作成します。

      1. + アイコンをクリックします。
      2. Service および StatefulSet YAML 設定テキスト をコピーし、Import YAML ページでテキストエディターボックスに テキストを貼り付けます。
      3. Create ボタンをクリックして、Service と StatefulSet を keycloak-system プロジェクトに追加します。

4. ワークステーションからターミナルを開き、OpenShift クラスターにログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

5. Transport Layer Security (TLS) 証明書と対応する秘密鍵を含めて、新しい Secret リソースを作成します。

   構文

   oc create secret tls SECRET_NAME -n NAMESPACE --cert CERTIFICATE_FILE_NAME --key PRIVATE_KEY_FILE_NAME

   例

   oc create secret tls keycloak-tls -n keycloak-system --cert certificate.pem --key key.pem

   注記

   OpenShift のサービス提供証明書は、Keycloak で使用する TLS 証明書の生成と管理を自動化できます。詳細は 付録 を参照してください。

6. OpenShift Web コンソールで、ナビゲーションメニューから Operator を展開し、OperatorHub をクリックします。
7. 検索フィールドに keycloak と入力し、認定済みの Red Hat カタログから Keycloak Operator タイルをクリックします。
8. Install ボタンをクリックして、Operator の詳細を表示します。
9. Install Operator ページで、Installed Namespace ドロップダウンメニューから keycloak-system を選択し、Install ボタンをクリックします。インストールが完了するまで待ちます。
10. インストールが完了したら、View Operator ボタンをクリックします。
11. Keycloak タイルで Create instance をクリックします。

12. Create Keycloak ページで、YAML view を選択します。

    1. name の行で、example-keycloak をカスタム名 (例: keycloak) に置き換えます。

    2. ホスト名は、hostname プロパティー内で明示的に指定することも、他のルートと同様に自動的に生成することもできます。hostname の行で、example.org をカスタムホスト名に置き換えます。

       注記

       OpenShift で Keycloak インスタンスのホスト名を生成するために必要な手順は、付録 を参照してください。

    3. spec セクションの下に、データベースの詳細を追加します。

       例

       spec:
       ...
         db:
           vendor: postgres
           host: postgresql-db
           usernameSecret:
             name: postgresql-db
             key: username
           passwordSecret:
             name: postgresql-db
             key: password
       ...

    4. また、spec セクションの http プロパティーに、TLS 証明書を含む Secret リソースの名前を指定します。

       例

       spec:
       ...
         http:
           tlsSecret: keycloak-tls
       ...

    5. Create ボタンをクリックします。
13. Networking ナビゲーションメニューを展開し、Routes をクリックします。
14. Keycloak 管理コンソールを開くには、Keycloak インスタンスに関連付けられたルートへのリンクをクリックします。
15. admin ユーザーのデフォルトの認証情報は keycloak-initial-admin という Secret に保存されます。パスワードを見つけるには、Workloads ナビゲーションメニューを展開し、Secrets をクリックします。
16. keycloak-initial-admin シークレットを選択します。
17. Data セクションでパスワードキーを見つけて、 アイコンをクリックします。
18. Keycloak 管理コンソールのログインページで、ユーザー名として admin と入力し、前の手順の内容をパスワードとして貼り付けます。

19. trusted-artifact-signer という新しいレルムを作成します。

    1. ナビゲーションメニューで、Red Hat build of Keycloak ドロップダウンメニューを選択します。
    2. Create Realm を選択します。
    3. リソース名 として trusted-artifact-signer と入力します。
    4. Create をクリックして新しいレルムを作成します。

20. 新しい ユーザー を作成します。新しいユーザーは、Keycloak 管理コンソールにログインでき、RHTAS を使用してコンテナーとコミットに署名することもできます。

    1. ナビゲーションメニューの Manage セクションで、Clients を選択します。
    2. Create Client ボタンをクリックします
    3. Client Id フィールドに、trusted-artifact-signer と入力します。
    4. オプションで、対応するフィールドに 名前 と 説明 を入力できます。
    5. Next をクリックします。
    6. 新しいクライアント作成プロセスの Capability Config ステップでデフォルトオプションを確定します。
    7. Next をクリックします。
    8. Valid redirect URIs フィールドに * と入力します。
    9. Save をクリックしてクライアントを作成します。
21. ナビゲーションメニューの Configure セクションで、Realm Settings を選択して、trusted-artifact-signer レルムの Issuer URL を見つけます。
22. Endpoints の横にある OpenID Endpoint Configuration リンクをクリックします。
23. issuer プロパティーから URL をコピーします。

24. RHTAS の SecureSign リソースの .spec.fulcio.config.OIDCIssuers セクションで、CLIENT_ID を trusted-artifact-signer に置き換え、URL コンテンツを貼り付けてRHBK_REALM_ISSUER_URL を置き換えます。

    構文

    spec:
    ...
      fulcio:
        config:
          OIDCIssuers:
            - ClientID: CLIENT_ID
              Issuer: 'RHBK_REALM_ISSUER_URL'
              IssuerURL: 'RHBK_REALM_ISSUER_URL'
              Type: email
    ...

    例

    spec:
    ...
      fulcio:
        config:
          OIDCIssuers:
            - ClientID: trusted-artifact-signer
              Issuer: 'https://keycloak-ingress-keycloak-system.apps.openshift.example.com/realms/trusted-artifact-signer'
              IssuerURL: 'https://keycloak-ingress-keycloak-system.apps.openshift.example.com/realms/trusted-artifact-signer'
              Type: email
    ...

手順

1. ワークステーションでターミナルを開き、OpenShift にログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

2. AWS OIDC プロバイダー URL を検索します。

   例

   oc get authentication cluster -o jsonpath='{.spec.serviceAccountIssuer}'

3. RHTAS の設定を更新します。

   1. Securesign リソースを開いて編集します。

      構文

      oc edit Securesign NAME -n NAMESPACE

      例

      oc edit Securesign securesign-sample -n trusted-artifact-signer

      注記

      RHTAS インストール用に作成されたプロジェクト名を namespace として使用する必要があります。

   2. OIDCIssuers セクションで、AWS STS クライアント識別子、発行者の URL を含む新しいサブセクションを追加し、Type の値を kubernetes に設定します。

      例

      ...
      OIDCIssuers:
        - Issuer: "https://example.s3.us-east-1.aws.com/47bd6cg0vs5nn01mue83fbof94dj4m9c"
          IssuerURL: "https://example.s3.us-east-1.aws.com/47bd6cg0vs5nn01mue83fbof94dj4m9c"
          ClientID: "trusted-artifact-signer"
          Type: kubernetes
      ...

   3. 変更を保存し、エディターを終了します。数秒後、Operator は RHTAS ソフトウェアスタックを自動的に再設定します。

4. アクセスキー、シークレットキー、デフォルトのリージョン、および出力形式を入力して、AWS コマンドラインツールを設定します。

   例

   aws configure

5. 以下の環境変数を設定します。

   例

   export account_id=$(aws sts get-caller-identity --query "Account" --output text)
   export oidc_provider="$(oc get authentication cluster -o jsonpath='{.spec.serviceAccountIssuer}' | cut -d '/' -f3-)"
   export role_name=rhtas-sts
   export namespace=rhtas-sts
   export service_account=cosign-sts

6. 新しく作成された IAM ロールに関連付けられる信頼ポリシーを作成します。

   例

   cat >trust-relationship.json <<EOF
   {
     "Version": "2012-10-17",
     "Statement": [
       {
         "Effect": "Allow",
         "Principal": {
           "Federated": "arn:aws:iam::${account_id}:oidc-provider/${oidc_provider}"
         },
         "Action": "sts:AssumeRoleWithWebIdentity",
         "Condition": {
           "StringEquals": {
             "${oidc_provider}:aud": "trusted-artifact-signer"
           }
         }
       }
     ]
   }
   EOF

7. 信頼ポリシーを使用して、RHTAS サービスの新しい IAM ロールを作成します。

   例

   aws iam create-role --role-name rhtas-sts --assume-role-policy-document file://trust-relationship.json --description "Red Hat Trusted Artifact Signer STS Role"

8. STS が有効になっている OpenShift クラスターで、新しいプロジェクト namespace を作成します。

   構文

   oc new-project NAMESPACE

   例

   oc new-project rhtas-sts

9. IAM ロールを一時的に設定して、OpenShift プロジェクトの namespace でワークロードを実行するサービスアカウントを作成します。

   1. サービスアカウントマニフェストを作成します。

      例

      cat >service_account.yaml <<EOF
      apiVersion: v1
      kind: ServiceAccount
      metadata:
        name: $service_account
        namespace: $namespace
        annotations:
          eks.amazonaws.com/role-arn: "arn:aws:iam::${account_id}:role/${role_name}"
          # optional: Defaults to "sts.amazonaws.com" if not set
          eks.amazonaws.com/audience: "trusted-artifact-signer"
          # optional: When "true", adds AWS_STS_REGIONAL_ENDPOINTS env var to containers
          eks.amazonaws.com/sts-regional-endpoints: "true"
          # optional: Defaults to 86400 for expirationSeconds if not set
          eks.amazonaws.com/token-expiration: "86400"
      EOF

   2. サービスアカウントマニフェストを OpenShift に適用します。

      例

      oc apply -f service_account.yaml

10. イメージレジストリーに、コンテナーイメージに署名するデプロイメントワークロードを新たに作成します。

    1. デプロイメントマニフェストを作成します。

       例

       cat >deployment.yaml <<EOF
       apiVersion: apps/v1
       kind: Deployment
       metadata:
         name: cosign-sts
         namespace: ${namespace}
       spec:
         selector:
           matchLabels:
             app: cosign-sts
         template:
           metadata:
             labels:
               app: cosign-sts
           spec:
             securityContext:
               runAsNonRoot: true
             serviceAccountName: cosign-sts
             containers:
             - args:
               - -c
               - env; cosign initialize --mirror=\$COSIGN_MIRROR --root=\$COSIGN_ROOT; while true; do sleep 86400; done
               command:
               - /bin/sh
               name: cosign
               image: registry.redhat.io/rhtas-tech-preview/cosign-rhel9@sha256:f4c2cec3fc1e24bbe094b511f6fe2fe3c6fa972da0edacaf6ac5672f06253a3e
               pullPolicy: IfNotPresent
               env:
               - name: AWS_ROLE_SESSION_NAME
                 value: signer-identity-session
               - name: AWS_REGION
                 value: us-east-1
               - name: OPENSHIFT_APPS_SUBDOMAIN
                 value: $(oc get cm -n openshift-config-managed  console-public -o go-template="{{ .data.consoleURL }}" | sed 's@https://@@; s/^[^.]*\.//')
               - name: OIDC_AUTHENTICATION_REALM
                 value: "trusted-artifact-signer"
               - name: COSIGN_FULCIO_URL
                 value: $(oc get fulcio -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
               - name: COSIGN_OIDC_ISSUER
                 value: $(oc get authentication cluster -o jsonpath='{.spec.serviceAccountIssuer}')
               - name: COSIGN_CERTIFICATE_OIDC_ISSUER
                 value: $(oc get authentication cluster -o jsonpath='{.spec.serviceAccountIssuer}')
               - name: COSIGN_REKOR_URL
                 value: $(oc get rekor -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
               - name: COSIGN_MIRROR
                 value: $(oc get tuf -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
               - name: COSIGN_ROOT
                 value: "$(oc get tuf -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)/root.json"
               - name: COSIGN_YES
                 value: "true"
               securityContext:
                 allowPrivilegeEscalation: false
                 capabilities:
                   drop:
                   - ALL
             dnsPolicy: ClusterFirst
             restartPolicy: Always
             schedulerName: default-scheduler
             securityContext:
               runAsNonRoot: true
             serviceAccount: ${service_account}
             serviceAccountName: ${service_account}
             terminationGracePeriodSeconds: 30
       EOF

    2. デプロイメントマニフェストを OpenShift に適用します。

       例

       oc apply -f deployment.yaml

11. 署名するテストコンテナーイメージを作成します。

    1. 空のコンテナーイメージを作成します。

       例

       echo "FROM scratch" > ./tmp.Dockerfile
       podman build . -f ./tmp.Dockerfile -t ttl.sh/rhtas/test-image:1h

    2. 空のコンテナーイメージを ttl.sh 一時レジストリーにプッシュします。

       例

       podman push ttl.sh/rhtas/test-image:1h

    3. 一時的な Docker ファイルを削除します。

       例

       rm ./tmp.Dockerfile

12. テストコンテナーイメージに署名して検証することで、設定を検証します。

    1. 実行中の Pod 内でリモートシェルセッションを開きます。

       構文

       oc rsh -n NAMESPACE deployment/cosign-sts env IMAGE=IMAGE_NAME:TAG /bin/sh

       例

       oc rsh -n rhtas-sts deployment/cosign-sts env IMAGE=ttl.sh/rhtas/test-image:1h /bin/sh

    2. コンテナーイメージに署名します。

       例

       cosign sign -y --identity-token=$(cat $AWS_WEB_IDENTITY_TOKEN_FILE) ttl.sh/rhtas/test-image:1h

    3. 署名済みコンテナーイメージを確認します。

       例

       cosign verify --certificate-identity=https://kubernetes.io/namespaces/$(cat /var/run/secrets/kubernetes.io/serviceaccount/namespace)/serviceaccounts/cosign-sts --certificate-oidc-issuer=$COSIGN_CERTIFICATE_OIDC_ISSUER ttl.sh/rhtas/test-image:1h

手順

1. ワークステーションでターミナルを開き、OpenShift にログインします。

   構文

   oc login --token=TOKEN --server=SERVER_URL_AND_PORT

   例

   oc login --token=sha256~ZvFDBvoIYAbVECixS4-WmkN4RfnNd8Neh3y1WuiFPXC --server=https://example.com:6443

   注記

   OpenShift Web コンソールからコマンドラインで使用するログイントークンと URL を確認できます。OpenShift Web コンソールにログインします。ユーザー名をクリックし、Copy login command をクリックします。入力を求められた場合はユーザー名とパスワードをもう一度入力し、Display Token をクリックしてコマンドを表示します。

2. Red Hat SSO コンソールにログインします。

   1. コマンドラインから Red Hat SSO コンソール URL を見つけます。

      例

      oc get routes -n keycloak-system keycloak -o jsonpath='https://{.spec.host}'

   2. Red Hat SSO コンソールの URL をコピーして、Web ブラウザーに貼り付けます。
   3. Administration Console をクリックします。

   4. コマンドラインから admin パスワードを取得します。

      例

      oc get secret/credential-keycloak -n keycloak-system -o jsonpath='{ .data.ADMIN_PASSWORD }' | base64 -d

      このコマンドの出力をコピーします。

   5. Web ブラウザーから admin ユーザーとしてログインし、対応するフィールドにパスワードを貼り付けます。Sign In ボタンをクリックします。
3. ナビゲーションメニューのドロップダウンからレルムを選択します。

4. GitHub アイデンティティープロバイダーを追加します。

   1. ナビゲーションメニューから、Identity Providers をクリックします。
   2. Add provider… ドロップダウンメニューから、GitHub を選択します。
   3. GitHub OAuth クライアント識別子を Client ID フィールドに追加します。
   4. GitHub OAuth クライアントシークレットを Client Secret フィールドに追加します。
   5. Trust Email オプションを on にします。
   6. Save ボタンをクリックします。

5. 新しく作成されたアイデンティティープロバイダーにアイデンティティープロバイダーマッパーを追加します。

   1. Mapper タブをクリックします。
   2. Create ボタンをクリックします。
   3. 新しいマッパーに Name を付けます。
   4. Mapper Type を Hardcoded Attribute に変更します。
   5. User Attribute フィールドを emailVerified に設定します。
   6. User Attribute Value フィールドを true に設定します。
   7. Save ボタンをクリックします。
6. GitHub Identity Provider Settings ページから、Redirect URI 値をコピーし、GitHub OAuth アプリケーション Authorization Callback URL フィールドに貼り付けます。また、同じ値を Homepage URL フィールドに貼り付けますが、URL 文字列の broker/github/endpoint の部分を削除します。
7. Update Application をクリックします。GitHub を OIDC プロバイダーとして使用して、コミット や コンテナー に署名できるようになりました。
8. アーティファクトに署名すると、Web ブラウザーが開き、Red Hat SSO アカウントにサインインするように求められます。GitHub ボタンをクリックして、認証情報でサインインします。
9. Authorize ボタンをクリックして、Red Hat SSO が GitHub ユーザーの詳細にアクセスできるようにします。

手順

1. ワークステーションでターミナルを開きます。

2. クライアントを表す Microsoft Entra ID 内にアプリケーション登録を作成します。

   例

   export RHTAS_APP_REGISTRATION=$(az ad app create --display-name=rhtas --web-redirect-uris=http://localhost:0/auth/callback --enable-id-token-issuance --query appId -o tsv)

3. ユーザーがアプリケーション登録を使用して ID トークンを取得できるようにする新しいクライアントシークレットを作成します。

   例

   export RHTAS_APP_REGISTRATION_CLIENT_SECRET=$(az ad app credential reset --id=$RHTAS_APP_REGISTRATION --display-name="RHTAS Client Secret" -o tsv --query 'password')

   注記

   デフォルトでは、クライアントシークレットの有効期間は 1 年間のみです。この値は --years または --end-date フラグを使用してカスタマイズできます。

4. 新しいクレームマッピングポリシーを作成して、email_verified という名前の新しい JWT クレームを定義し、静的な値 true を使用します。

   例

   az rest -m post --headers Content-Type=application/json --uri https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies --body '{"definition": ["{\"ClaimsMappingPolicy\":{\"Version\":1,\"IncludeBasicClaimSet\":\"true\", \"ClaimsSchema\":[{\"value\":\"true\",\"JwtClaimType\":\"email_verified\"}]}}"],"displayName": "EmailVerified"}'

5. アプリケーション登録オブジェクト ID を取得します。

   例

   export RHTAS_APP_REGISTRATION_OBJ_ID=$(az ad app show --id $RHTAS_APP_REGISTRATION --output tsv --query id)

6. アプリケーション登録のマニフェストを更新します。

   例

   az rest --method PATCH --uri https://graph.microsoft.com/v1.0/applications/${RHTAS_APP_REGISTRATION_OBJ_ID} --headers 'Content-Type=application/json' --body "{\"api\":{\"acceptMappedClaims\":true}}"

7. 新しいサービスプリンシパルを作成し、それをアプリケーション登録に関連付けます。

   例

   export SERVICE_PRINCIPAL_ID=$(az ad sp create --id=${RHTAS_APP_REGISTRATION} -o tsv --query 'id')

8. クレームマッピングポリシー ID を取得します。

   例

   export CLAIM_MAPPING_POLICY_ID=$(az rest --uri https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies -o tsv --query "value[?displayName=='EmailVerified'] | [0].id")

9. クレームマッピングポリシーをサービスプリンシパルに関連付けます。

   例

   az rest -m post --headers Content-Type=application/json --uri "https://graph.microsoft.com/v1.0/servicePrincipals/${SERVICE_PRINCIPAL_ID}/claimsMappingPolicies/\$ref" --body "{\"@odata.id\": \"https://graph.microsoft.com/v1.0/policies/claimsMappingPolicies/${CLAIM_MAPPING_POLICY_ID}\"}"

10. テナント ID を取得します。

    例

    export TENANT_ID=$(az account show -o tsv --query tenantId)

11. OIDC エンドポイントを取得します。

    例

    export ENTRA_ID_OIDC_ENDPOINT=$(echo https://login.microsoftonline.com/${TENANT_ID}/v2.0)

12. RHTAS 設定を更新します。

    1. Securesign リソースを開いて編集します。

       構文

       oc edit Securesign NAME -n NAMESPACE

       例

       oc edit Securesign securesign-sample -n trusted-artifact-signer

       注記

       RHTAS インストール用に作成されたプロジェクト名を namespace として使用する必要があります。

    2. OIDCIssuers セクションで、クライアント ID、発行者の URL を含む新しいサブセクションを追加し、Type 値を email に設定します。

       構文

       ...
       OIDCIssuers:
         - Issuer: "${ENTRA_ID_OIDC_ENDPOINT}"
           IssuerURL: "${ENTRA_ID_OIDC_ENDPOINT}"
           ClientID: "${RHTAS_APP_REGISTRATION}"
           Type: email
       ...

    3. 変更を保存し、エディターを終了します。数秒後、Operator は RHTAS ソフトウェアスタックを自動的に再設定します。

13. ローカルクライアントシークレットファイルを作成します。

    例

    echo $RHTAS_APP_REGISTRATION_CLIENT_SECRET > rhtas-entra-id-client-secret

14. アーティファクトに署名するためのシェル環境を設定します。

    例

    export TUF_URL=$(oc get tuf -n trusted-artifact-signer -o jsonpath='{.items[0].status.url}')
    export OIDC_ISSUER_URL=$(oc get securesign -n trusted-artifact-signer rhtas -o jsonpath='{ .spec.fulcio.config.OIDCIssuers[0].Issuer }')
    export COSIGN_REKOR_URL=$(oc get rekor -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
    export COSIGN_MIRROR=$TUF_URL
    export COSIGN_ROOT=$TUF_URL/root.json
    export COSIGN_OIDC_CLIENT_ID=$RHTAS_APP_REGISTRATION
    export SIGSTORE_OIDC_CLIENT_ID=$COSIGN_OIDC_CLIENT_ID
    export COSIGN_OIDC_ISSUER=$OIDC_ISSUER_URL
    export COSIGN_CERTIFICATE_OIDC_ISSUER=$OIDC_ISSUER_URL
    export COSIGN_YES="true"
    export COSIGN_FULCIO_URL=$(oc get fulcio -o jsonpath='{.items[0].status.url}' -n trusted-artifact-signer)
    export SIGSTORE_FULCIO_URL=$COSIGN_FULCIO_URL
    export SIGSTORE_OIDC_ISSUER=$COSIGN_OIDC_ISSUER
    export SIGSTORE_REKOR_URL=$COSIGN_REKOR_URL
    export COSIGN_OIDC_CLIENT_SECRET_FILE=$(pwd)/rhtas-entra-id-client-secret

15. 署名のためにローカルマシンを初期化します。

    例

    $ cosign initialize

16. テストコンテナーイメージに署名して、更新された設定を確認します。

    1. 空のコンテナーイメージを作成します。

       例

       echo "FROM scratch" > ./tmp.Dockerfile
       podman build . -f ./tmp.Dockerfile -t ttl.sh/rhtas/test-image:1h

    2. 空のコンテナーイメージを ttl.sh 一時レジストリーにプッシュします。

       例

       podman push ttl.sh/rhtas/test-image:1h

    3. 一時的な Docker ファイルを削除します。

       例

       rm ./tmp.Dockerfile

    4. コンテナーイメージに署名します。

       構文

       cosign sign -y --oidc-client-secret-file=SECRET_FILE IMAGE_NAME:TAG

       例

       cosign sign -y --oidc-client-secret-file=rhtas-entra-id-client-secret ttl.sh/rhtas/test-image:1h

       Web ブラウザーが開いて、コンテナーイメージをメールアドレスで署名できます。