7.11. 配置信任值、策略和 secret

流程

1. 创建 rvps-configmap.yaml 清单文件：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: rvps-reference-values
     namespace: trustee-operator-system
   data:
     reference-values.json: |
       [ 1
       ]

   1

   该值留空。

2. 运行以下命令来创建 RVPS 配置映射：

   $ oc apply -f rvps-configmap.yaml

流程

1. 创建 attestation-policy.yaml 清单文件：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: attestation-policy
     namespace: trustee-operator-system
   data:
     default.rego: | 1
       package policy
       import rego.v1
       default allow = false
       converted_version := sprintf("%v", [input["se.version"]])
       allow if {
           input["se.attestation_phkh"] == "<se.attestation_phkh>" 2
           input["se.image_phkh"] == "<se.image_phkh>"
           input["se.tag"] == "<se.tag>"
           converted_version == "256"
       }

   1

   不要修改策略名称。

   2

   运行 se_parse_hdr.py 脚本，指定您获取的 attestation 策略字段。

2. 运行以下命令来创建 attestation 策略配置映射：

   $ oc apply -f attestation-policy.yaml

流程

1. 运行以下命令，为容器镜像签名验证创建 secret：

   $ oc apply secret generic <type> \ 1
     --from-file=<tag>=./<public_key_file> \ 2
     -n trustee-operator-system

   1

   指定 KBS secret 类型，例如 img-sig。

   2

   指定 secret 标签，如 pub-key，以及公共容器镜像签名密钥。

2. 记录 &lt ;type&gt; 值。在创建 KbsConfig 自定义资源时，您必须将这个值添加到 spec.kbsSecretResources 键中。

流程

1. 根据以下示例创建 security-policy-config.json 文件：

   • 没有签名验证：

     {
       "default": [
       {
         "type": "insecureAcceptAnything"
       }],
       "transports": {}
     }

   • 使用签名验证：

     {
       "default": [
           {
           "type": "insecureAcceptAnything"
           }
       ],
       "transports": {
           "<transport>": { 1
               "<registry>/<image>": 2
               [
                   {
                       "type": "sigstoreSigned",
                       "keyPath": "kbs:///default/<type>/<tag>" 3
                   }
               ]
           }
       }
     }

     1

     指定 传输的 镜像存储库，例如 "docker":。如需更多信息，请参阅 containers-transports 5。

     2

     指定容器 registry 和镜像，例如 "quay.io/my-image"。

     3

     指定您创建的容器镜像签名验证 secret 的类型和标签，例如 img-sig/pub-key。

2. 运行以下命令来创建安全策略：

   $ oc apply secret generic security-policy \
     --from-file=osc=./<security-policy-config.json> \
     -n trustee-operator-system

   不要更改机密类型 security-policy 或 key, osc。

   security-policy secret 在 KbsConfig 自定义资源的 spec.kbsSecretResources 键中指定。

流程

1. 创建 resourcepolicy-configmap.yaml 清单文件：

   apiVersion: v1
   kind: ConfigMap
   metadata:
     name: resource-policy
     namespace: trustee-operator-system
   data:
     policy.rego: | 1
       package policy 2
       path := split(data["resource-path"], "/")
       default allow = false
       allow {
         count(path) == 3
         input["tee"] == "se"
       }

   1

   资源策略 policy.rego 的名称必须与 Trustee 配置映射中定义的资源策略匹配。

   2

   资源策略遵循 Open Policy Agent 规格。当 TEE 不是 tester 的示例时，此示例允许检索所有资源。

2. 运行以下命令来创建资源策略配置映射：

   $ oc apply -f resourcepolicy-configmap.yaml