3.16. OpenShift Pipelines 공급망 보안을 위해 Tekton Chains 사용

절차

1. OpenShift Container Platform 클러스터에 대한 TektonChain CR을 생성합니다.

   apiVersion: operator.tekton.dev/v1alpha1
   kind: TektonChain
   metadata:
     name: chain
   spec:
     targetNamespace: openshift-pipelines

2. TektonChain CR을 적용합니다.

   $ oc apply -f TektonChain.yaml 1

   1

   TektonChain CR의 파일 이름으로 바꿉니다.

3. 설치 상태를 확인합니다.

   $ oc get tektonchains.operator.tekton.dev

절차

1. Kubernetes 서비스 계정의 네임스페이스 및 이름을 설정합니다.

   $ export NAMESPACE=<namespace> 1
   $ export SERVICE_ACCOUNT_NAME=<service_account> 2

   1

   서비스 계정과 연결된 네임스페이스입니다.

   2

   서비스 계정의 이름입니다.

2. Kubernetes 시크릿을 생성합니다.

   $ oc create secret registry-credentials \
     --from-file=.dockerconfigjson \ 1
     --type=kubernetes.io/dockerconfigjson \
     -n $NAMESPACE

   1

   Docker 구성 파일의 경로로 바꿉니다. 기본 경로는 ~/.docker/config.json 입니다.

3. 시크릿에 대한 서비스 계정 액세스 권한을 부여합니다.

   $ oc patch serviceaccount $SERVICE_ACCOUNT_NAME \
     -p "{\"imagePullSecrets\": [{\"name\": \"registry-credentials\"}]}" -n $NAMESPACE

   Red Hat OpenShift Pipelines가 모든 작업 실행에 할당한 기본 파이프라인 서비스 계정을 패치하면 Red Hat OpenShift Pipelines Operator가 서비스 계정을 재정의합니다. 모범 사례로 다음 단계를 수행할 수 있습니다.

   1. 별도의 서비스 계정을 생성하여 사용자의 작업 실행에 할당합니다.

      $ oc create serviceaccount <service_account_name>

   2. 작업 실행 템플릿에서 serviceaccountname 필드의 값을 설정하여 서비스 계정을 작업 실행에 연결합니다.

      apiVersion: tekton.dev/v1beta1
      kind: TaskRun
      metadata:
      name: build-push-task-run-2
      spec:
      serviceAccountName: build-bot 1
      taskRef:
        name: build-push
      ...

      1

      새로 생성된 서비스 계정 이름으로 바꿉니다.

절차

1. 암호화된 x509 키 쌍을 생성하고 Kubernetes 시크릿으로 저장합니다.

   $ cosign generate-key-pair k8s://openshift-pipelines/signing-secrets

   메시지가 표시되면 암호를 입력합니다. cosign은 생성된 개인 키를 openshift-pipelines 네임스페이스에 signing-secrets Kubernetes 시크릿의 일부로 저장하고 공개 키를 cosign.pub 로컬 파일에 씁니다.

2. 이미지 레지스트리에 대한 인증을 구성합니다.

   1. OCI 레지스트리로 서명을 푸시하기 위해 Tekton Chains 컨트롤러를 구성하려면 작업 실행의 서비스 계정과 연결된 인증 정보를 사용합니다. 자세한 내용은 " OCI 레지스트리 인증" 섹션을 참조하십시오.

   2. 이미지를 레지스트리에 빌드하고 푸시하는 Kaniko 작업에 대한 인증을 구성하려면 필요한 인증 정보가 포함된 docker config.json 파일의 Kubernetes 시크릿을 생성합니다.

      $ oc create secret generic <docker_config_secret_name> \ 1
        --from-file <path_to_config.json> 2

      1

      docker config secret 이름으로 바꿉니다.

      2

      docker config.json 파일의 경로로 바꿉니다.

3. chain-config 오브젝트에서 artifacts.taskrun.format,artifacts.taskrun.storage 및 transparency.enabled 매개변수를 설정하여 Tekton Chains를 구성합니다.

   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"artifacts.taskrun.format": "in-toto"}}'
   
   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"artifacts.taskrun.storage": "oci"}}'
   
   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"transparency.enabled": "true"}}'

4. Kaniko 작업을 시작합니다.

   1. Kaniko 작업을 클러스터에 적용합니다.

      $ oc apply -f examples/kaniko/kaniko.yaml 1

      1

      Kaniko 작업의 URI 또는 파일 경로를 사용합니다.

   2. 적절한 환경 변수를 설정합니다.

      $ export REGISTRY=<url_of_registry> 1
      
      $ export DOCKERCONFIG_SECRET_NAME=<name_of_the_secret_in_docker_config_json> 2

      1

      이미지를 푸시하려는 레지스트리의 URL로 바꿉니다.

      2

      docker config.json 파일에서 보안 이름으로 바꿉니다.

   3. Kaniko 작업을 시작합니다.

      $ tkn task start --param IMAGE=$REGISTRY/kaniko-chains --use-param-defaults --workspace name=source,emptyDir="" --workspace name=dockerconfig,secret=$DOCKERCONFIG_SECRET_NAME kaniko-chains

      모든 단계가 완료될 때까지 이 작업의 로그를 관찰합니다. 인증에 성공하면 최종 이미지가 $REGISTRY/kaniko-chains 로 푸시됩니다.

5. Tekton Chains가 provenance를 생성하고 서명할 때까지 잠시 기다린 다음 작업 실행에서 chain.tekton.dev/signed=true 주석의 가용성을 확인합니다.

   $ oc get tr <task_run_name> \ 1
   -o json | jq -r .metadata.annotations
   
   {
     "chains.tekton.dev/signed": "true",
     ...
   }

   1

   을 작업 실행 이름으로 바꿉니다.

6. 이미지와 테스트 결과를 확인합니다.

   $ cosign verify --key cosign.pub $REGISTRY/kaniko-chains
   
   $ cosign verify-attestation --key cosign.pub $REGISTRY/kaniko-chains

7. Rekor에서 이미지의 출처를 찾으십시오.

   1. $REGISTRY/kaniko-chains 이미지의 다이제스트를 가져옵니다. 작업 실행으로 검색하거나 이미지를 가져와 다이제스트를 추출할 수 있습니다.

   2. Rekor를 검색하여 이미지의 sha256 다이제스트와 일치하는 모든 항목을 찾습니다.

      $ rekor-cli search --sha <image_digest> 1
      
      <uuid_1> 2
      <uuid_2> 3
      ...

      1

      이미지의 sha256 다이제스트로 바꿉니다.

      2

      첫 번째로 일치하는 UUID(Universally unique identifier)입니다.

      3

      두 번째 일치 UUID입니다.

      검색 결과에 일치하는 항목의 UUID가 표시됩니다. 이러한 UUID 중 하나가 attestation을 갖습니다.

   3. 테스트 결과를 확인하십시오.

      $ rekor-cli get --uuid <uuid> --format json | jq -r .Attestation | base64 --decode | jq