1.3. Tekton 체인에서 데이터에 서명하기 위한 보안

프로세스

1. 다음 명령을 실행하여 TektonConfig CR을 편집합니다.

   $ oc edit TektonConfig config

   Copy to Clipboard Toggle word wrap

2. TektonConfig CR에서 generateSigningSecret 값을 true 로 설정합니다.

   TektonConfig CR을 사용하여 ECDSA cosign 키 쌍을 생성하는 예

   apiVersion: operator.tekton.dev/v1
   kind: TektonConfig
   metadata:
     name: config
   spec:
   # ...
     chain:
       disabled: false
       generateSigningSecret: true 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   기본값은 false입니다. 값을 true 로 설정하면 ecdsa 키 쌍이 생성됩니다.

3. 몇 분 후에 시크릿에서 공개 키를 추출하여 저장하여 아티팩트 강화를 확인할 수 있습니다. 다음 명령을 실행하여 키를 추출합니다.

   $ oc extract -n openshift-pipelines secret/signing-secrets --keys=cosign.pub

   Copy to Clipboard Toggle word wrap

프로세스

1. 다음 명령을 실행하여 cosign.key 및 cosign.pub 키 쌍을 생성합니다.

   $ cosign generate-key-pair k8s://openshift-pipelines/signing-secrets

   Copy to Clipboard Toggle word wrap

   cosign은 암호를 입력하라는 메시지를 표시한 다음 Kubernetes 시크릿을 생성합니다.

2. 암호화된 cosign.key 개인 키와 cosign.password 암호 해독 암호를 signing-secrets Kubernetes 시크릿에 저장합니다. 개인 키가 ENCRYPTED COSIGN PRIVATE KEY 유형의 암호화된 PEM 파일로 저장되었는지 확인합니다.

프로세스

1. 다음 명령을 실행하여 공개/개인 키 쌍을 생성합니다.

   $ skopeo generate-sigstore-key --output-prefix <mykey> 

   1

   Copy to Clipboard Toggle word wrap

   1

   & lt;mykey >를 선택한 키 이름으로 바꿉니다.

   Skopeo는 개인 키에 대한 암호를 입력하라는 메시지를 표시한 다음 <mykey> .private 및 <mykey > .pub 라는 키 파일을 만듭니다.

2. 다음 명령을 실행하여 base64 툴을 사용하여 < mykey>.pub 파일을 인코딩합니다.

   $ base64 -w 0 <mykey>.pub > b64.pub

   Copy to Clipboard Toggle word wrap

3. 다음 명령을 실행하여 base64 툴을 사용하여 < mykey>.private 파일을 인코딩합니다.

   $ base64 -w 0 <mykey>.private > b64.private

   Copy to Clipboard Toggle word wrap

4. 다음 명령을 실행하여 base64 툴을 사용하여 passhprase를 인코딩합니다.

   $ echo -n '<passphrase>' | base64 -w 0 > b64.passphrase 

   1

   Copy to Clipboard Toggle word wrap

   1

   & lt;passphrase& gt;를 키 쌍에 사용한 암호로 바꿉니다.

5. 다음 명령을 실행하여 openshift-pipelines 네임스페이스에 signing-secrets 시크릿을 생성합니다.

   $ oc create secret generic signing-secrets -n openshift-pipelines

   Copy to Clipboard Toggle word wrap

6. 다음 명령을 실행하여 signing-secrets 시크릿을 편집합니다.

   $ oc edit secret -n openshift-pipelines signing-secrets

   Copy to Clipboard Toggle word wrap

   다음과 같은 방식으로 시크릿 데이터에 인코딩된 키를 추가합니다.

   apiVersion: v1
   data:
     cosign.key: <Encoded <mykey>.private> 

   1

   
     cosign.password: <Encoded passphrase> 

   2

   
     cosign.pub: <Encoded <mykey>.pub> 

   3

   
   immutable: true
   kind: Secret
   metadata:
     name: signing-secrets
   # ...
   type: Opaque

   Copy to Clipboard Toggle word wrap

   1

   & lt;Encoded <mykey>.private >을 b64.private 파일의 내용으로 바꿉니다.

   2

   & lt;Encoded passphrase& gt;를 b64.passphrase 파일의 콘텐츠로 바꿉니다.

   3

   & lt;Encoded <mykey>.pub >를 b64.pub 파일의 내용으로 바꿉니다.

프로세스

1. 다음 명령을 실행하여 signing-secret 시크릿을 삭제합니다.

   $ oc delete secret signing-secrets -n openshift-pipelines

   Copy to Clipboard Toggle word wrap
2. 키 쌍을 다시 생성하여 선호하는 서명 스키마를 사용하여 시크릿에 저장합니다.