1.3. 在 Tekton Chains 中签名数据的 secret

流程

1. 运行以下命令来编辑 TektonConfig CR：

   $ oc edit TektonConfig config

   Copy to Clipboard Toggle word wrap

2. 在 TektonConfig CR 中，将 generateSigningSecret 值设置为 true ：

   使用 TektonConfig CR 创建 ECDSA cosign 密钥对的示例

   apiVersion: operator.tekton.dev/v1
   kind: TektonConfig
   metadata:
     name: config
   spec:
   # ...
     chain:
       disabled: false
       generateSigningSecret: true 

   1

   
   # ...

   Copy to Clipboard Toggle word wrap

   1

   默认值为 false。将值设为 true 会生成 ecdsa 密钥对。

3. 几分钟后，从机密中提取公钥并存储它，以便您可以使用它来验证工件(testations)。运行以下命令来提取密钥：

   $ oc extract -n openshift-pipelines secret/signing-secrets --keys=cosign.pub

   Copy to Clipboard Toggle word wrap

流程

1. 运行以下命令，生成 cosign.key 和 cosign.pub 密钥对：

   $ cosign generate-key-pair k8s://openshift-pipelines/signing-secrets

   Copy to Clipboard Toggle word wrap

   Cosign 会提示您输入密码，然后创建一个 Kubernetes secret。

2. 将加密的 cosign.key 私钥和 cosign.password 解密密码存储在 signing-secrets Kubernetes secret 中。确保私钥存储为 ENCRYPTED COSIGN PRIVATE KEY 类型的加密 PEM 文件。

流程

1. 运行以下命令生成公钥/私钥对：

   $ skopeo generate-sigstore-key --output-prefix <mykey> 

   1

   Copy to Clipboard Toggle word wrap

   1

   将 <mykey> 替换为您选择的密钥名称。

   Skopeo 会提示您输入私钥的密码短语，然后创建名为 <mykey>.private 和 <mykey>.pub 的密钥文件。

2. 运行以下命令，使用 base64 工具对 <mykey>.pub 文件进行编码：

   $ base64 -w 0 <mykey>.pub > b64.pub

   Copy to Clipboard Toggle word wrap

3. 运行以下命令，使用 base64 工具对 <mykey>.private 文件进行编码：

   $ base64 -w 0 <mykey>.private > b64.private

   Copy to Clipboard Toggle word wrap

4. 运行以下命令，使用 base64 工具对 passhprase 进行编码：

   $ echo -n '<passphrase>' | base64 -w 0 > b64.passphrase 

   1

   Copy to Clipboard Toggle word wrap

   1

   将 <passphrase> 替换为用于密钥对的密码短语。

5. 运行以下命令，在 openshift-pipelines 命名空间中创建 signing-secrets secret：

   $ oc create secret generic signing-secrets -n openshift-pipelines

   Copy to Clipboard Toggle word wrap

6. 运行以下命令来编辑 signing-secrets secret：

   $ oc edit secret -n openshift-pipelines signing-secrets

   Copy to Clipboard Toggle word wrap

   使用以下方法在 secret 的数据中添加编码的密钥：

   apiVersion: v1
   data:
     cosign.key: <Encoded <mykey>.private> 

   1

   
     cosign.password: <Encoded passphrase> 

   2

   
     cosign.pub: <Encoded <mykey>.pub> 

   3

   
   immutable: true
   kind: Secret
   metadata:
     name: signing-secrets
   # ...
   type: Opaque

   Copy to Clipboard Toggle word wrap

   1

   将 <Encoded <mykey>.private> 替换为 b64.private 文件的内容。

   2

   将 <Encoded passphrase> 替换为 b64.passphrase 文件的内容。

   3

   将 <Encoded <mykey>.pub> 替换为 b64.pub 文件的内容。

流程

1. 运行以下命令来删除 signing-secret secret：

   $ oc delete secret signing-secrets -n openshift-pipelines

   Copy to Clipboard Toggle word wrap
2. 重新创建密钥对，并使用您首选的签名方案将其存储在机密中。