使用 Conforma 管理合规性

流程

1. 在命令行中配置您的策略作为 JSON 或 YAML 字符串，如下例所示：

   $ ec validate image --policy '{
       "sources": [
           {
               "policy": ["oci::quay.io/enterprise-contract/ec-release-policy:latest"],
               "data": ["git::https://github.com/enterprise-contract/ec-policies//example/data"],
               "config": {"include": ["@minimal"]}
           }
       ]
   }' ...

   Copy to Clipboard Toggle word wrap

2. （可选）从您的 Conforma 策略中排除特定规则软件包，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "exclude": [
             "attestation_task_bundle",
             "slsa_build_scripted_build"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   此命令包含来自每个软件包的每个规则，但指定软件包中的规则除外。

3. （可选） Exclude 单个规则，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "exclude": [
             "attestation_task_bundle.unacceptable_task_bundle"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   此命令包括 attestation_task_bundle 软件包中的每个规则，但 unacceptable_task_bundle 规则除外。

4. （可选）只包括特定软件包的规则，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "include": [
             "test",
             "java"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   此命令仅包含指定软件包中的规则。

5. （可选）只包括特定软件包中的一些规则。这意味着，您可以指定 include 和 exclude 来仅选择要包含的 Conforma 策略的规则，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "include": [
             ""*"",
             "attestation_task_bundle.unacceptable_task_bundle"
           ],
           "exclude": [
             "attestation_task_bundle.*"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   asterisk (*)

   星号 integrity 充当匹配任何软件包的通配符。它与部分名称不匹配。例如，您无法指定 "s*" 来匹配以"s"开头的每个软件包。

   这些命令指定您 只包括 attestation _task_bundle 软件包中的 unacceptable_task_bundle 规则，并排除该软件包中的所有其他规则。

6. （可选） Exclude 某些检查，以便 Conforma 可以验证您的容器镜像，即使这些检查失败或没有完成，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "exclude": [
             "test:get-clair-scan",
             "test:clamav-scan"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   此命令指定，如果任何一个标识的检查失败或未完成，Conforma 仍然可以完成以验证您的容器镜像。

7. （可选）通过运行 config.policy. include 命令或 config.policy.exclude 命令以及字符串列表来修改软件包中的规则的默认值。

   您的字符串列表应包括以下之一：

   软件包名称

   从"Available 规则集合"列表中的软件包中进行选择。

   规则名称

   通过输入软件包名称和规则代码（用句点(.)分隔来指定规则名称，如下例所示：attestation _type.unknown_att_type。您可以在上游 Conforma 文档中找到"Attestation type"下的规则代码。

   package name:term

   有些策略规则处理项目列表。将 "term" 添加到 "package name" 字符串时，您可以从该列表中排除或包含特定项。这的工作方式与"软件包名称"类似，但它仅适用于与该术语匹配的软件包中的策略规则。例如，如果您运行 test 软件包，您可以选择忽略给定的测试案例，但包含所有测试。

   rule name:term

   这和 "package name:term" 类似，除了从软件包中包含或排除某个项目外，您可以包含或排除特定的软件包 策略规则。

   @collection 名称

   将其添加到字符串中以指定预定义的规则集合。使用 @ 符号为集合名称加上前缀。从可用的规则集合中选择。

流程

1. 运行以下命令来生成密钥对：

   $ cosign generate-key-pair

   Copy to Clipboard Toggle word wrap
2. 出现提示时，输入新密码作为密钥对。确保您的密码是 memorable 且强强。

流程

1. 从 OCP 集群下载 ec 二进制文件：

   1. 登陆到 OpenShift Container Platform Web 控制台。在主页中，单击右上角的 ? 图标，然后选择 Command Line Tools。
   2. 在 ec download 部分中，单击您的平台的链接。
   3. 打开终端。

   4. 运行以下命令来解压缩 .gz 文件：

      $ gunzip ec-amd64.gz

      Copy to Clipboard Toggle word wrap

   5. 运行以下命令使 ec 二进制文件可执行：

      $ chmod +x ec-amd64

      Copy to Clipboard Toggle word wrap

   6. 将 ec 二进制文件移到 $PATH 环境中的目录中。例如：

      $ sudo mv ec-amd64 /usr/local/bin/ec

      Copy to Clipboard Toggle word wrap
      提示

      运行 ec validate image --help 命令来查看所有 image 验证命令选项。

2. 为容器镜像签名和验证配置 shell 环境。

   1. 运行以下命令来进入 sigstore-ocp 目录：

      $ cd sigstore-ocp

      Copy to Clipboard Toggle word wrap

   2. 运行 tas-env-variables.sh 脚本配置 shell：

      $ source tas-env-variables.sh

      Copy to Clipboard Toggle word wrap

   3. （可选）手动设置环境变量：

      export OPENSHIFT_APPS_SUBDOMAIN=apps.$(oc get dns cluster -o jsonpath='{ .spec.baseDomain }')
      export OIDC_AUTHENTICATION_REALM=sigstore
      export FULCIO_URL=https://fulcio.$OPENSHIFT_APPS_SUBDOMAIN
      export OIDC_ISSUER_URL=https://keycloak-keycloak-system.$OPENSHIFT_APPS_SUBDOMAIN/auth/realms/$OIDC_AUTHENTICATION_REALM
      export REKOR_URL=https://rekor.$OPENSHIFT_APPS_SUBDOMAIN
      export TUF_URL=https://tuf.$OPENSHIFT_APPS_SUBDOMAIN

      Copy to Clipboard Toggle word wrap

      $ source ./tas-env-vars.sh

      Copy to Clipboard Toggle word wrap

3. 运行以下命令初始化更新框架(TUF)系统：

   $ cosign initialize --mirror=$TUF_URL --root=$TUF_URL/root.json

   Copy to Clipboard Toggle word wrap

4. 运行以下命令来为您的容器镜像签名：

   $ cosign sign -y --fulcio-url=$FULCIO_URL --rekor-url=$REKOR_URL --oidc-issuer=$OIDC_ISSUER_URL IMAGE_NAME

   Copy to Clipboard Toggle word wrap

   例如：

   $ cosign sign -y --fulcio-url=$FULCIO_URL \
     --rekor-url=$REKOR_URL \
     --oidc-issuer=$OIDC_ISSUER_URL example-hello-world@sha256:2788a47fd0ef1ece30898c1e608050ea71036d3329b9772dbb3d1f69313f745c

   Copy to Clipboard Toggle word wrap

   在打开的 Web 浏览器中，使用电子邮件地址签署容器镜像。

5. 创建 predicate.json 文件：

   {
     "builder": {
       "id": "https://localhost/dummy-id"
     },
     "buildType": "https://example.com/tekton-pipeline",
     "invocation": {},
     "buildConfig": {},
     "metadata": {
       "completeness": {
         "parameters": false,
         "environment": false,
         "materials": false
       },
       "reproducible": false
     },
     "materials": []
   }

   Copy to Clipboard Toggle word wrap

6. 运行以下命令，将 predicate.json 文件与容器镜像关联：

   $ cosign attest -y --predicate ./predicate.json \
     --type slsaprovenance IMAGE_NAME:TAG

   Copy to Clipboard Toggle word wrap

   例如：

   $ cosign attest -y --predicate ./predicate.json \
     --type slsaprovenance example.io/hello-world:latest

   Copy to Clipboard Toggle word wrap

7. 运行以下命令，验证容器镜像至少有一个至少测试和签名：

   $ cosign tree IMAGE_NAME:TAG

   Copy to Clipboard Toggle word wrap

   例如：

   $ cosign tree example.io/hello-world:latest
   📦 Supply Chain Security Related artifacts for an image: example.io/hello-world@sha256:7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35
   └── 💾 Attestations for an image tag: example.io/hello-world:sha256-7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35.att
      └── 🍒 sha256:40d94d96a6d3ab3d94b429881e1b470ae9a3cac55a3ec874051bdecd9da06c2e
   └── 🔐 Signatures for an image tag: example.io/hello-world:sha256-7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35.sig
      └── 🍒 sha256:f32171250715d4538aec33adc40fac2343f5092631d4fc2457e2116a489387b7

   Copy to Clipboard Toggle word wrap

8. 运行以下命令，使用 Conforma 验证容器镜像：

   $ ec validate image --image IMAGE_NAME:TAG \
     --certificate-identity-regexp 'SIGNER_EMAIL_ADDR' \
     --certificate-oidc-issuer-regexp 'keycloak-keycloak-system' \
     --output yaml --show-successes

   Copy to Clipboard Toggle word wrap

   例如：

   $ ec validate image --image example.io/hello-world:latest \
     --certificate-identity 'jdoe@example.com' \
     --certificate-oidc-issuer 'keycloak-keycloak-system' \
     --output yaml --show-successes

   Copy to Clipboard Toggle word wrap

   使用输出来验证容器镜像：

   success: true
   successes:
     - metadata:
         code: builtin.attestation.signature_check
       msg: Pass
     - metadata:
         code: builtin.attestation.syntax_check
       msg: Pass
     - metadata:
         code: builtin.image.signature_check
       msg: Pass
   ec-version: v0.1.2427-499ef12
   effective-time: "2024-01-21T19:57:51.338191Z"
   key: ""
   policy: {}
   success: true

   Copy to Clipboard Toggle word wrap

   Conforma 生成通过或失败报告，其中包含有关任何安全违反情况的详情。当您添加 the- info 标志时，报告会包括任何违反情况的更多详情和可能的解决方案。