5.9. Trustee 값, 정책 및 시크릿 구성

프로세스

1. rvps-configmap.yaml 매니페스트 파일을 생성합니다.

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: rvps-reference-values
     namespace: trustee-operator-system
   data:
     reference-values.json: |
       [ 1
       ]

   1

   필요한 경우 하드웨어 플랫폼에 대해 신뢰할 수 있는 다이제스트를 지정합니다. 그렇지 않으면 비워 둡니다.

2. 다음 명령을 실행하여 RVPS 구성 맵을 생성합니다.

   $ oc apply -f rvps-configmap.yaml

프로세스

1. 다음 예에 따라 attestation-policy.yaml 매니페스트 파일을 생성합니다.

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: attestation-policy
     namespace: trustee-operator-system
   data:
     default.rego: |
       package policy 1
       import future.keywords.every
   
       default allow = false
   
       allow {
         every k, v in input {
             judge_field(k, v)
         }
       }
   
       judge_field(input_key, input_value) {
         has_key(data.reference, input_key)
         reference_value := data.reference[input_key]
         match_value(reference_value, input_value)
       }
   
       judge_field(input_key, input_value) {
         not has_key(data.reference, input_key)
       }
   
       match_value(reference_value, input_value) {
         not is_array(reference_value)
         input_value == reference_value
       }
   
       match_value(reference_value, input_value) {
         is_array(reference_value)
         array_include(reference_value, input_value)
       }
   
       array_include(reference_value_array, input_value) {
         reference_value_array == []
       }
   
       array_include(reference_value_array, input_value) {
         reference_value_array != []
         some i
         reference_value_array[i] == input_value
       }
   
       has_key(m, k) {
         _ = m[k]
       }

   1

   인증 정책은 Open Policy Agent 사양을 따릅니다. 이 예에서 attestation 정책은 테스트 보고서에 제공된 클레임을 RVPS 데이터베이스에 등록된 참조 값과 비교합니다. 인증 프로세스는 모든 값이 일치하는 경우에만 성공합니다.

2. 다음 명령을 실행하여 인증 정책 구성 맵을 생성합니다.

   $ oc apply -f attestation-policy.yaml

프로세스

1. 다음 예에 따라 tdx-config.yaml 매니페스트 파일을 생성합니다.

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: tdx-config
     namespace: trustee-operator-system
   data:
     sgx_default_qcnl.conf: | \
         {
           "collateral_service": "https://api.trustedservices.intel.com/sgx/certification/v4/",
           "pccs_url": "<pccs_url>" 1
         }

   1

   PCCS URL을 지정합니다(예: https://localhost:8081/sgx/certification/v4/ ).

2. 다음 명령을 실행하여 TDX 구성 맵을 생성합니다.

   $ oc apply -f tdx-config.yaml

프로세스

1. 다음 명령을 실행하여 컨테이너 이미지 서명 확인에 대한 보안을 생성합니다.

   $ oc apply secret generic <type> \ 1
     --from-file=<tag>=./<public_key_file> \ 2
     -n trustee-operator-system

   1

   KBS 시크릿 유형을 지정합니다(예: img-sig ).

   2

   secret 태그(예: pub-key ) 및 공용 컨테이너 이미지 서명 키를 지정합니다.

2. < type> 값을 기록합니다. KbsConfig 사용자 지정 리소스를 생성할 때 spec.kbsSecretResources 키에 이 값을 추가해야 합니다.

프로세스

1. 다음 예에 따라 security-policy-config.json 파일을 생성합니다.

   • 서명 확인 없이:

     {
       "default": [
       {
         "type": "insecureAcceptAnything"
       }],
       "transports": {}
     }

   • 서명 확인으로 다음을 수행합니다.

     {
       "default": [
           {
           "type": "insecureAcceptAnything"
           }
       ],
       "transports": {
           "<transport>": { 1
               "<registry>/<image>": 2
               [
                   {
                       "type": "sigstoreSigned",
                       "keyPath": "kbs:///default/<type>/<tag>" 3
                   }
               ]
           }
       }
     }

     1

     전송을 위한 이미지 리포지토리를 지정합니다(예: "docker": ). 자세한 내용은 컨테이너 전송 5를 참조하십시오.

     2

     컨테이너 레지스트리와 이미지를 지정합니다(예: "quay.io/my-image").

     3

     생성한 컨테이너 이미지 서명 확인 보안의 유형 및 태그를 지정합니다(예: img-sig/pub-key ).

2. 다음 명령을 실행하여 보안 정책을 생성합니다.

   $ oc apply secret generic security-policy \
     --from-file=osc=./<security-policy-config.json> \
     -n trustee-operator-system

   보안 유형, security-policy 또는 키 osc 를 변경하지 마십시오.

   security-policy 시크릿은 KbsConfig 사용자 지정 리소스의 spec.kbsSecretResources 키에 지정됩니다.

프로세스

1. resourcepolicy-configmap.yaml 매니페스트 파일을 생성합니다.

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: resource-policy
     namespace: trustee-operator-system
   data:
     policy.rego: | 1
       package policy 2
       default allow = false
       allow {
         input["tee"] != "sample"
       }

   1

   리소스 정책의 이름 policy.rego 는 Trustee 구성 맵에 정의된 리소스 정책과 일치해야 합니다.

   2

   리소스 정책은 Open Policy Agent 사양을 따릅니다. 이 예제에서는 TEE가 샘플 attester가 아닌 경우 모든 리소스를 검색할 수 있습니다.

2. 다음 명령을 실행하여 리소스 정책 구성 맵을 생성합니다.

   $ oc apply -f resourcepolicy-configmap.yaml