保护 OpenShift Pipelines

流程

1. 设置 Kubernetes 服务帐户的命名空间和名称。

   $ export NAMESPACE=<namespace> 

   1

   
   $ export SERVICE_ACCOUNT_NAME=<service_account> 

   2

   1

   与服务帐户关联的命名空间。

   2

   服务帐户的名称。

2. 创建 Kubernetes secret。

   $ oc create secret registry-credentials \
     --from-file=.dockerconfigjson \ 

   1

   
     --type=kubernetes.io/dockerconfigjson \
     -n $NAMESPACE

   1

   使用 Docker 配置文件的路径替换。默认路径为 ~/.docker/config.json。

3. 授予服务帐户对 secret 的访问权限。

   $ oc patch serviceaccount $SERVICE_ACCOUNT_NAME \
     -p "{\"imagePullSecrets\": [{\"name\": \"registry-credentials\"}]}" -n $NAMESPACE

   如果对 Red Hat OpenShift Pipelines 分配到所有任务的默认 pipeline 服务帐户进行补丁，Red Hat OpenShift Pipelines Operator 将覆盖服务帐户。作为最佳实践，您可以执行以下步骤：

   1. 创建单独的服务帐户，以分配给用户的任务运行。

      $ oc create serviceaccount <service_account_name>

   2. 通过设置任务运行模板中的 serviceaccountname 字段的值，将服务帐户关联到运行任务。

      apiVersion: tekton.dev/v1
      kind: TaskRun
      metadata:
        name: build-push-task-run-2
      spec:
        taskRunTemplate:
          serviceAccountName: build-bot 

      1

      
        taskRef:
          name: build-push
      ...

      1

      使用新创建的服务帐户的名称替换。

流程

1. 创建加密的 x509 密钥对，并将它保存为 Kubernetes secret。有关创建密钥对并将其保存为 secret 的更多信息，请参阅 "Signing secrets in Tekton Chains"。

2. 在 Tekton Chains 配置中，禁用 OCI 存储，并将任务运行存储和格式设置为 tekton。在 TektonConfig 自定义资源中设置以下值：

   apiVersion: operator.tekton.dev/v1alpha1
   kind: TektonConfig
   metadata:
     name: config
   spec:
   # ...
       chain:
         artifacts.oci.storage: ""
         artifacts.taskrun.format: tekton
         artifacts.taskrun.storage: tekton
   # ...

   有关使用 TektonConfig 自定义资源配置 Tekton 链的更多信息，请参阅"配置 Tekton 链"。

3. 要重启 Tekton Chains 控制器以确保应用了修改后的配置，请输入以下命令：

   $ oc delete po -n openshift-pipelines -l app=tekton-chains-controller

4. 输入以下命令来创建任务运行：

   $ oc create -f https://raw.githubusercontent.com/tektoncd/chains/main/examples/taskruns/task-output-image.yaml 

   1

   1

   将示例 URI 替换为指向任务运行的 URI 或文件路径。

   输出示例

   taskrun.tekton.dev/build-push-run-output-image-qbjvh created

5. 输入以下命令来检查步骤的状态。等待进程完成。

   $ tkn tr describe --last

   输出示例

   [...truncated output...]
   NAME                            STATUS
   ∙ create-dir-builtimage-9467f   Completed
   ∙ git-source-sourcerepo-p2sk8   Completed
   ∙ build-and-push                Completed
   ∙ echo                          Completed
   ∙ image-digest-exporter-xlkn7   Completed

6. 要从存储为 base64 编码注解的对象检索签名，请输入以下命令：

   $ tkn tr describe --last -o jsonpath="{.metadata.annotations.chains\.tekton\.dev/signature-taskrun-$TASKRUN_UID}" | base64 -d > sig

   $ export TASKRUN_UID=$(tkn tr describe --last -o  jsonpath='{.metadata.uid}')

7. 要使用您创建的公钥验证签名，请输入以下命令：

流程

1. 创建加密的 x509 密钥对，并将它保存为 Kubernetes secret：

   $ cosign generate-key-pair k8s://openshift-pipelines/signing-secrets

   提示时提供密码。Cosign 将生成的私钥作为 openshift-pipelines 命名空间中的 signing-secrets Kubernetes secret 的一部分存储在 openshift-pipelines 命名空间中，并将公钥写入 cosign.pub 本地文件。

2. 为镜像 registry 配置身份验证。

   1. 要将 Tekton Chains 控制器配置为将签名推送到 OCI registry，请使用与任务运行服务帐户关联的凭证。如需更多信息，请参阅"授权到 OCI registry"部分。

   2. 要为构建并推送到 registry 的 Kaniko 任务配置身份验证，请创建一个包含所需凭证的 docker config.json 文件的 Kubernetes secret。

      $ oc create secret generic <docker_config_secret_name> \ 

      1

      
        --from-file <path_to_config.json> 

      2

      1

      使用 docker config secret 的名称替换。

      2

      使用 docker config.json 文件的路径替换。

3. 通过在 chains-config 对象中设置 artifacts.taskrun.format、artifacts.taskrun.storage 和 transparency.enabled 参数来配置 Tekton 链 ：

   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"artifacts.taskrun.format": "in-toto"}}'
   
   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"artifacts.taskrun.storage": "oci"}}'
   
   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"transparency.enabled": "true"}}'

4. 启动 Kaniko 任务。

   1. 将 Kaniko 任务应用到集群。

      $ oc apply -f examples/kaniko/kaniko.yaml 

      1

      1

      使用 Kaniko 任务的 URI 或文件路径替换。

   2. 设置适当的环境变量。

      $ export REGISTRY=<url_of_registry> 

      1

      
      
      $ export DOCKERCONFIG_SECRET_NAME=<name_of_the_secret_in_docker_config_json> 

      2

      1

      使用您要推送镜像的 registry 的 URL 替换。

      2

      使用 docker config.json 文件中的 secret 名称替换。

   3. 启动 Kaniko 任务。

      $ tkn task start --param IMAGE=$REGISTRY/kaniko-chains --use-param-defaults --workspace name=source,emptyDir="" --workspace name=dockerconfig,secret=$DOCKERCONFIG_SECRET_NAME kaniko-chains

      观察此任务的日志，直到所有步骤都完成。身份验证成功后，最终镜像将推送到 $REGISTRY/kaniko-chains。

5. 等待一分钟，以允许 Tekton 链生成证据并对其进行签名，然后在任务运行时检查 chains.tekton.dev/signed=true 注解的可用性。

   $ oc get tr <task_run_name> \ 

   1

   
   -o json | jq -r .metadata.annotations
   
   {
     "chains.tekton.dev/signed": "true",
     ...
   }

   1

   使用任务运行的名称替换。

6. 验证镜像和 attestation。

   $ cosign verify --key cosign.pub $REGISTRY/kaniko-chains
   
   $ cosign verify-attestation --key cosign.pub $REGISTRY/kaniko-chains

7. 在 Rekor 中找到镜像的验证情况。

   1. 获取 $REGISTRY/kaniko-chains 镜像摘要。您可以搜索任务运行或拉取镜像以提取摘要。

   2. 搜索 Rekor 以查找与镜像 sha256 摘要匹配的所有条目。

      $ rekor-cli search --sha <image_digest> 

      1

      
      
      <uuid_1> 

      2

      
      <uuid_2> 

      3

      
      ...

      1

      使用镜像的 sha256 摘要替换。

      2

      第一个匹配通用唯一标识符(UUID)。

      3

      第二个匹配 UUID。

      搜索结果显示匹配条目的 UUID。其中其中一个 UUID 包含 attestation。

   3. 检查 attestation。

      $ rekor-cli get --uuid <uuid> --format json | jq -r .Attestation | base64 --decode | jq

流程

1. 定义自定义 SCC，并将 fsGroup.type 参数设置为 RunAsAny ：

   示例：自定义 SCC

   apiVersion: security.openshift.io/v1
   kind: SecurityContextConstraints
   metadata:
     annotations:
       kubernetes.io/description: my-scc is a close replica of anyuid scc. pipelines-scc has fsGroup - RunAsAny.
     name: my-scc
   allowHostDirVolumePlugin: false
   allowHostIPC: false
   allowHostNetwork: false
   allowHostPID: false
   allowHostPorts: false
   allowPrivilegeEscalation: true
   allowPrivilegedContainer: false
   allowedCapabilities: null
   defaultAddCapabilities: null
   fsGroup:
     type: RunAsAny
   groups:
   - system:cluster-admins
   priority: 10
   readOnlyRootFilesystem: false
   requiredDropCapabilities:
   - MKNOD
   runAsUser:
     type: RunAsAny
   seLinuxContext:
     type: MustRunAs
   supplementalGroups:
     type: RunAsAny
   volumes:
   - configMap
   - downwardAPI
   - emptyDir
   - persistentVolumeClaim
   - projected
   - secret

2. 创建自定义 SCC：

   示例：创建 my-scc SCC

   $ oc create -f my-scc.yaml

3. 创建自定义服务帐户：

   示例：创建一个 fsgroup-runasany 服务帐户

   $ oc create serviceaccount fsgroup-runasany

4. 将自定义 SCC 与自定义服务帐户关联：

   示例：将 my-scc SCC 与 fsgroup-runasany 服务帐户关联

   $ oc adm policy add-scc-to-user my-scc -z fsgroup-runasany

   如果要将自定义服务帐户用于特权任务，您可以通过运行以下命令将 privileged SCC 与自定义服务帐户关联：

   示例：将 privileged SCC 与 fsgroup-runasany 服务帐户关联

   $ oc adm policy add-scc-to-user privileged -z fsgroup-runasany

5. 在管道运行和任务运行中使用自定义服务帐户：

   示例：Pipeline 使用 fsgroup-runasany 自定义服务帐户运行 YAML

   apiVersion: tekton.dev/v1
   kind: PipelineRun
   metadata:
     name: <pipeline-run-name>
   spec:
     pipelineRef:
       name: <pipeline-cluster-task-name>
     taskRunTemplate:
       serviceAccountName: 'fsgroup-runasany'

   示例：任务使用 fsgroup-runasany 自定义服务帐户运行 YAML

   apiVersion: tekton.dev/v1
   kind: TaskRun
   metadata:
     name: <task-run-name>
   spec:
     taskRef:
       name: <cluster-task-name>
     taskRunTemplate:
       serviceAccountName: 'fsgroup-runasany'

流程

1. 从 pipelines-tutorial 存储库中的 YAML 文件创建 TriggerBinding 资源：

   $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/master/03_triggers/01_binding.yaml

2. 从 pipelines-tutorial 存储库中的 YAML 文件创建 TriggerTemplate 资源：

   $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/master/03_triggers/02_template.yaml

3. 直接从 pipelines-tutorial 存储库创建 Trigger 资源：

   $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/master/03_triggers/03_trigger.yaml

4. 使用安全 HTTPS 连接创建 EventListener 资源：

   1. 添加一个标签，在 Eventlistener 资源中启用安全 HTTPS 连接：

      $ oc label namespace <ns-name> operator.tekton.dev/enable-annotation=enabled

   2. 从 pipelines-tutorial 存储库中的 YAML 文件创建 EventListener 资源：

      $ oc create -f https://raw.githubusercontent.com/openshift/pipelines-tutorial/master/03_triggers/04_event_listener.yaml

   3. 创建带有重新加密 TLS 终止的路由：

      $ oc create route reencrypt --service=<svc-name> --cert=tls.crt --key=tls.key --ca-cert=ca.crt --hostname=<hostname>

流程

1. 作为普通任务，创建 buildah 集群任务的副本。

   $ oc get clustertask buildah -o yaml | yq '. |= (del .metadata |= with_entries(select(.key == "name" )))' | yq '.kind="Task"' | yq '.metadata.name="buildah-as-user"' | oc create -f -

2. 编辑复制的 buildah 任务。

   $ oc edit task buildah-as-user

   示例：使用 build 用户修改 Buildah 任务

   apiVersion: tekton.dev/v1
   kind: Task
   metadata:
     name: buildah-as-user
   spec:
     description: >-
       Buildah task builds source into a container image and
       then pushes it to a container registry.
       Buildah Task builds source into a container image using Project Atomic's
       Buildah build tool.It uses Buildah's support for building from Dockerfiles,
       using its buildah bud command.This command executes the directives in the
       Dockerfile to assemble a container image, then pushes that image to a
       container registry.
     params:
     - name: IMAGE
       description: Reference of the image buildah will produce.
     - name: BUILDER_IMAGE
       description: The location of the buildah builder image.
       default: registry.redhat.io/rhel8/buildah@sha256:99cae35f40c7ec050fed3765b2b27e0b8bbea2aa2da7c16408e2ca13c60ff8ee
     - name: STORAGE_DRIVER
       description: Set buildah storage driver
       default: vfs
     - name: DOCKERFILE
       description: Path to the Dockerfile to build.
       default: ./Dockerfile
     - name: CONTEXT
       description: Path to the directory to use as context.
       default: .
     - name: TLSVERIFY
       description: Verify the TLS on the registry endpoint (for push/pull to a non-TLS registry)
       default: "true"
     - name: FORMAT
       description: The format of the built container, oci or docker
       default: "oci"
     - name: BUILD_EXTRA_ARGS
       description: Extra parameters passed for the build command when building images.
       default: ""
     - description: Extra parameters passed for the push command when pushing images.
       name: PUSH_EXTRA_ARGS
       type: string
       default: ""
     - description: Skip pushing the built image
       name: SKIP_PUSH
       type: string
       default: "false"
     results:
     - description: Digest of the image just built.
       name: IMAGE_DIGEST
       type: string
     workspaces:
     - name: source
     steps:
     - name: build
       securityContext:
         runAsUser: 1000 

   1

   
       image: $(params.BUILDER_IMAGE)
       workingDir: $(workspaces.source.path)
       script: |
         echo "Running as USER ID `id`" 

   2

   
         buildah --storage-driver=$(params.STORAGE_DRIVER) bud \
           $(params.BUILD_EXTRA_ARGS) --format=$(params.FORMAT) \
           --tls-verify=$(params.TLSVERIFY) --no-cache \
           -f $(params.DOCKERFILE) -t $(params.IMAGE) $(params.CONTEXT)
         [[ "$(params.SKIP_PUSH)" == "true" ]] && echo "Push skipped" && exit 0
         buildah --storage-driver=$(params.STORAGE_DRIVER) push \
           $(params.PUSH_EXTRA_ARGS) --tls-verify=$(params.TLSVERIFY) \
           --digestfile $(workspaces.source.path)/image-digest $(params.IMAGE) \
           docker://$(params.IMAGE)
         cat $(workspaces.source.path)/image-digest | tee /tekton/results/IMAGE_DIGEST
       volumeMounts:
       - name: varlibcontainers
         mountPath: /home/build/.local/share/containers 

   3

   
     volumes:
     - name: varlibcontainers
       emptyDir: {}

   1

   以用户 id 1000 明确运行容器，它与 Buildah 镜像中的 build 用户对应。

   2

   显示用户 id，以确认进程以用户 ID 1000 身份运行。

   3

   您可以根据需要更改卷挂载的路径。

流程

1. 使用自定义 ConfigMap 和 Dockerfile 对象创建一个 TaskRun 对象。

   示例：以用户 ID 1000 身份运行 Buildah 的任务运行

   apiVersion: v1
   data:
     Dockerfile: |
       ARG BASE_IMG=registry.access.redhat.com/ubi9/ubi
       FROM $BASE_IMG AS buildah-runner
       RUN dnf -y update && \
           dnf -y install git && \
           dnf clean all
       CMD git
   kind: ConfigMap
   metadata:
     name: dockerfile 

   1

   
   ---
   apiVersion: tekton.dev/v1
   kind: TaskRun
   metadata:
     name: buildah-as-user-1000
   spec:
     taskRunTemplate:
       serviceAccountName: pipelines-sa-userid-1000 

   2

   
     params:
     - name: IMAGE
       value: image-registry.openshift-image-registry.svc:5000/test/buildahuser
     taskRef:
       kind: Task
       name: buildah-as-user
     workspaces:
     - configMap:
         name: dockerfile 

   3

   
       name: source

   1

   使用配置映射，因为重点是在任务运行中，而无需使用 Dockerfile 获取某些源的以前的任务。

   2

   您创建的服务帐户的名称。

   3

   将配置映射挂载为 buildah-as-user 任务的源工作区。

2. （可选）创建管道和对应的管道运行。

   示例：管道和对应的管道运行

   apiVersion: tekton.dev/v1
   kind: Pipeline
   metadata:
     name: pipeline-buildah-as-user-1000
   spec:
     params:
     - name: IMAGE
     - name: URL
     workspaces:
     - name: shared-workspace
     - name: sslcertdir
       optional: true
     tasks:
     - name: fetch-repository 

   1

   
       taskRef:
         name: git-clone
         kind: ClusterTask
       workspaces:
       - name: output
         workspace: shared-workspace
       params:
       - name: url
         value: $(params.URL)
       - name: subdirectory
         value: ""
       - name: deleteExisting
         value: "true"
     - name: buildah
       taskRef:
         name: buildah-as-user 

   2

   
       runAfter:
       - fetch-repository
       workspaces:
       - name: source
         workspace: shared-workspace
       - name: sslcertdir
         workspace: sslcertdir
       params:
       - name: IMAGE
         value: $(params.IMAGE)
   ---
   apiVersion: tekton.dev/v1
   kind: PipelineRun
   metadata:
     name: pipelinerun-buildah-as-user-1000
   spec:
     taskRunSpecs:
       - pipelineTaskName: buildah
         taskServiceAccountName: pipelines-sa-userid-1000 

   3

   
     params:
     - name: URL
       value: https://github.com/openshift/pipelines-vote-api
     - name: IMAGE
       value: image-registry.openshift-image-registry.svc:5000/test/buildahuser
     pipelineRef:
       name: pipeline-buildah-as-user-1000
     workspaces:
     - name: shared-workspace 

   4

   
       volumeClaimTemplate:
         spec:
           accessModes:
             - ReadWriteOnce
           resources:
             requests:
               storage: 100Mi

   1

   使用 git-clone 集群任务获取包含 Dockerfile 的源，并使用修改后的 Buildah 任务构建它。

   2

   请参阅修改后的 Buildah 任务。

   3

   使用您为 Buildah 任务创建的服务帐户。

   4

   使用控制器自动创建的持久性卷声明 (PVC) 在 git-clone 任务和修改后的 Buildah 任务间共享数据。

3. 启动任务运行或管道运行。