7.16. 验证测试过程

流程

1. 创建 verification-pod.yaml 清单文件：

   apiVersion: v1
   kind: Pod
   metadata:
     name: ocp-cc-pod
     labels:
       app: ocp-cc-pod
     annotations:
       io.katacontainers.config.agent.policy: <base64_encoded_policy> 

   1

   
       io.katacontainers.config.runtime.cc_init_data: <base64_initdata> 

   2

   
   spec:
     runtimeClassName: kata-remote
     containers:
       - name: skr-openshift
         image: registry.access.redhat.com/ubi9/ubi:9.3
         command:
           - sleep
           - "36000"
         securityContext:
           privileged: false
           seccompProfile:
             type: RuntimeDefault

   1

   此 pod 注解覆盖阻止敏感数据写入标准 I/O 的默认代理策略。

   2

   此 pod 注解覆盖 initdata.toml 文件的 Base64 编码字符串，在对等 pod 配置映射中全局设置。

   如果您使用代理策略同时指定 io.katacontainers.config.agent.policy 注解和 io.katacontainers.config.runtime.cc_init_data 注解，则 initdata 注解优先于代理策略注解。

2. 运行以下命令来创建 pod：

   $ oc create -f verification-pod.yaml

3. 运行以下命令，连接到 ocp-cc-pod 的 Bash shell：

   $ oc exec -it ocp-cc-pod -- bash

4. 运行以下命令来获取 pod secret：

   $ curl http://127.0.0.1:8006/cdh/resource/default/kbsres1/key1

   输出示例

   res1val1

   只有当 attestation 成功时才会返回 secret。