管理符合企业合同的合规性

流程

1. 在命令行中将策略配置为 JSON 或 YAML 字符串，如下例所示：

   ec validate image --policy '{
       "configuration": {
           "include": ["@minimal"]
       },
       "sources": [
           {
               "policy": ["oci::quay.io/enterprise-contract/ec-release-policy:latest"],
               "data": ["git::https://github.com/enterprise-contract/ec-policies//example/data"]
           }
       ]
   }' ...

   Copy to Clipboard

2. （可选）排除企业合同策略中规则的特定软件包，如下例所示：

   exclude:
   - attestation_task_bundle
   - slsa_build_scripted_build

   Copy to Clipboard

   这个命令包括每个软件包中的每个规则，但指定软件包中的规则除外。

3. （可选）排除单个规则，如下例所示：

   exclude:
   - attestation_task_bundle.unacceptable_task_bundle

   Copy to Clipboard

   此命令包含 attestation_task_bundle 软件包中的每个规则，但 unacceptable_task_bundle 规则除外。

4. （可选）只包括特定软件包中的规则，如下例所示：

   include:
   - test
   - java

   Copy to Clipboard

   此命令仅包含指定软件包中的规则。

5. （可选）只包括特定软件包中的一些规则。这意味着，您可以指定 include 和 exclude 来只选择您希望 Enterprise Contract 策略包含的规则，如下例所示：

   include:
   - "*" 

   1

   
   - attestation_task_bundle.unacceptable_task_bundle
   exclude:
   - attestation_task_bundle.*

   Copy to Clipboard

   1

   星号 packagemanifests 作为通配符来匹配任何软件包。请注意，它与部分名称不匹配，这意味着您无法指定"s"与以"s"开头的每个软件包匹配。

   这些命令指定 您只 包括来自 attestation_task_bundle 软件包中的 unacceptable_task_bundle 规则，并排除该软件包中的所有其他规则。

6. （可选）排除某些检查，以便 Enterprise Contract 即使这些检查失败或没有完成，也可以验证您的容器镜像，如下例所示：

   exclude:
   - test:get-clair-scan
   - test:clamav-scan

   Copy to Clipboard

   此命令指定，如果任何确定的检查失败或未完成，企业合同仍然可以完成以验证您的容器镜像。

7. （可选）通过运行 config.policy. include 命令或 config.policy.exclude 命令以及字符串列表来修改软件包中规则的默认值。

   您的字符串列表应该包括以下之一：

   • "package name" - 从 Available rule collections 列表中的软件包中选择。
   • "rule name" - 输入软件包名称和规则代码的名称（以点(.)分隔）指定一个规则名称，如本例中所示： attestation_type.unknown_att_type。您可以在此处的"Attestation type"中找到规则代码。https://enterprisecontract.dev/docs/ec-policies/release_policy.html#attestation_type_package
   • "package name:term" - 一些策略规则处理项目列表。将 "term" 添加到 "package name" 字符串时，您可以从该列表中排除或包含特定项。这的工作方式与"软件包名称"类似，但它只适用于与该术语匹配的软件包中的策略规则。例如，如果您运行 test 软件包，您可以选择忽略给定的测试案例，但包含所有其他测试。
   • "rule name:term" - 这与 "package name:term" 类似，除了 包含软件包 中的项目外，您可以包含 ot 排除特定的软件包 策略规则。
   • "@collection name" - 将其添加到您的字符串中以指定预定义的规则集合。请确保使用 @ 符号为集合名称添加前缀。从 此处的 可用规则集合中选择。

流程

1. 在 CLI 中，运行这个命令：cosign generate-key-pair。
2. 出现提示时，为密钥对输入新密码。确保您的密码是 memorable and strong。

流程

1. 从 OpenShift 集群下载 ec 二进制文件：

   1. 登录 OpenShift Web 控制台。在主页中，单击右上角的 ? 图标，然后选择 Command Line Tools。
   2. 在 ec download 部分中，点您的平台的链接。

   3. 打开一个终端，解压缩 .gz 文件，并在 ec 二进制文件上设置执行位：

      Linux 和 macOS 示例

      • $ gunzip ec-amd64.gz
      • $ chmod +x ec-amd64

   4. 将 ec 二进制文件移到 $PATH 环境中的目录中：

      Example

      $ sudo mv ec-amd64 /usr/local/bin/ec

2. 为容器镜像签名和验证配置 shell 环境。

   1. 打开一个终端，从 sigstore-ocp 目录运行 tas-env-variables.sh 脚本：

      Example

      cd sigstore-ocp
      source tas-env-variables.sh

      Copy to Clipboard

   2. （可选）手动设置环境变量：

      Example

      export OPENSHIFT_APPS_SUBDOMAIN=apps.$(oc get dns cluster -o jsonpath='{ .spec.baseDomain }')
      export OIDC_AUTHENTICATION_REALM=sigstore
      export FULCIO_URL=https://fulcio.$OPENSHIFT_APPS_SUBDOMAIN
      export OIDC_ISSUER_URL=https://keycloak-keycloak-system.$OPENSHIFT_APPS_SUBDOMAIN/auth/realms/$OIDC_AUTHENTICATION_REALM
      export REKOR_URL=https://rekor.$OPENSHIFT_APPS_SUBDOMAIN
      export TUF_URL=https://tuf.$OPENSHIFT_APPS_SUBDOMAIN

      Copy to Clipboard

      Example

      $ source ./tas-env-vars.sh

3. 初始化更新框架(TUF)系统：

   Example

   cosign initialize --mirror=$TUF_URL --root=$TUF_URL/root.json

4. 为容器镜像签名：

   语法

   Cosign sign -y --fulcio-url=$FULCIO_URL --rekor-url=$REKOR_URL --oidc-issuer=$OIDC_ISSUER_URL IMAGE_NAME

   Example

   cosign sign -y --fulcio-url=$FULCIO_URL --rekor-url=$REKOR_URL --oidc-issuer=$OIDC_ISSUER_URL example-hello-world@sha256:2788a47fd0ef1ece30898c1e608050ea71036d3329b9772dbb3d1f693f745c

   在打开的 Web 浏览器中，使用电子邮件地址为容器镜像签名。

5. 创建 predicate.json 文件：

   Example

   {
     "builder": {
       "id": "https://localhost/dummy-id"
     },
     "buildType": "https://example.com/tekton-pipeline",
     "invocation": {},
     "buildConfig": {},
     "metadata": {
       "completeness": {
         "parameters": false,
         "environment": false,
         "materials": false
       },
       "reproducible": false
     },
     "materials": []
   }

   Copy to Clipboard

6. 将 predicate.json 文件与容器镜像关联：

   语法

   cosign attest -y --predicate ./predicate.json \
   --type slsaprovenance IMAGE_NAME:TAG

   Copy to Clipboard

   Example

   $ cosign attest -y --predicate ./predicate.json \
   --type slsaprovenance example.io/hello-world:latest

   Copy to Clipboard

7. 验证容器镜像是否至少有一个测试和签名：

   语法

   Cosign tree IMAGE_NAME:TAG

   Example

   $ cosign tree example.io/hello-world:latest
   📦 Supply Chain Security Related artifacts for an image: example.io/hello-world@sha256:7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35
   └── 💾 Attestations for an image tag: example.io/hello-world:sha256-7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35.att
      └── 🍒 sha256:40d94d96a6d3ab3d94b429881e1b470ae9a3cac55a3ec874051bdecd9da06c2e
   └── 🔐 Signatures for an image tag: example.io/hello-world:sha256-7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35.sig
      └── 🍒 sha256:f32171250715d4538aec33adc40fac2343f5092631d4fc2457e2116a489387b7

   Copy to Clipboard

8. 使用 Enterprise Contract 验证容器镜像：

   语法

   ec validate image --image IMAGE_NAME:TAG \
   --certificate-identity-regexp 'SIGNER_EMAIL_ADDR' \
   --certificate-oidc-issuer-regexp 'keycloak-keycloak-system' \
   --output yaml --show-successes

   Copy to Clipboard

   Example

   $ ec validate image --image example.io/hello-world:latest \
   --certificate-identity 'jdoe@example.com' \
   --certificate-oidc-issuer 'keycloak-keycloak-system' \
   --output yaml --show-successes
   
   success: true
   successes:
     - metadata:
         code: builtin.attestation.signature_check
       msg: Pass
     - metadata:
         code: builtin.attestation.syntax_check
       msg: Pass
     - metadata:
         code: builtin.image.signature_check
       msg: Pass
   ec-version: v0.1.2427-499ef12
   effective-time: "2024-01-21T19:57:51.338191Z"
   key: ""
   policy: {}
   success: true

   Copy to Clipboard

   企业合同生成 pass/fail 报告，其中包含任何安全违反情况的详细信息。添加 --info 标志时，报告包括更多详情和可能的解决方案。