第 3 章 创建策略

流程

1. 在命令行中配置您的策略作为 JSON 或 YAML 字符串，如下例所示：

   ec validate image --policy '{
       "sources": [
           {
               "policy": ["oci::quay.io/enterprise-contract/ec-release-policy:latest"],
               "data": ["git::https://github.com/enterprise-contract/ec-policies//example/data"],
               "config": {"include": ["@minimal"]}
           }
       ]
   }' ...

   Copy to Clipboard Toggle word wrap

2. （可选）从您的企业合同策略中排除特定规则软件包，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "exclude": [
             "attestation_task_bundle",
             "slsa_build_scripted_build"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   此命令包含来自每个软件包的每个规则，但指定软件包中的规则除外。

3. （可选） Exclude 单个规则，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "exclude": [
             "attestation_task_bundle.unacceptable_task_bundle"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   此命令包括 attestation_task_bundle 软件包中的每个规则，但 unacceptable_task_bundle 规则除外。

4. （可选）只包括特定软件包的规则，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "include": [
             "test",
             "java"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   此命令仅包含指定软件包中的规则。

5. （可选）只包括特定软件包中的一些规则。这意味着，您可以指定 include 和 exclude 来仅选择要包含企业合同策略的规则，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "include": [
             ""*"", 

   1

   
             "attestation_task_bundle.unacceptable_task_bundle"
           ],
           "exclude": [
             "attestation_task_bundle.*"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   1

   星号 integrity 充当匹配任何软件包的通配符。请注意，它不匹配部分名称，这意味着您无法指定 "s*" 以匹配以"s"开头的每个软件包。

   这些命令指定您 只包括 attestation _task_bundle 软件包中的 unacceptable_task_bundle 规则，并排除该软件包中的所有其他规则。

6. （可选） Exclude 某些检查，以便企业合同可以验证您的容器镜像，即使这些检查失败或未完成，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "exclude": [
             "test:get-clair-scan",
             "test:clamav-scan"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   此命令指定，如果已确定的检查失败或未完成，企业合同仍然可以完成以验证您的容器镜像。

7. （可选）通过运行 config.policy. include 命令或 config.policy.exclude 命令以及字符串列表来修改软件包中的规则的默认值。

   您的字符串列表应包括以下之一：

   • "package name" - 从可用 规则集合列表中的软件包 中进行选择。
   • "rule name" - 输入软件包名称和规则代码（用点分隔）来指定规则名称，如下例所示：attestation _type.unknown_att_type。您可以在此处找到"Attestation type"下的规则代码。https://enterprisecontract.dev/docs/ec-policies/release_policy.html#attestation_type_package
   • "package name:term" - 某些策略规则处理项目列表。将 "term" 添加到 "package name" 字符串时，您可以从该列表中排除或包含特定项。这的工作方式与"软件包名称"类似，但它仅适用于与该术语匹配的软件包中的策略规则。例如，如果您运行 test 软件包，您可以选择忽略给定的测试案例，但包含所有测试。
   • "rule name:term" - 这与 "package name:term" 类似，除了从软件包中包含或排除某个项目外，您可以包括 ot 排除特定的软件包 策略规则。
   • "@collection name" - 将其添加到字符串中，以指定预定义的规则集合。TMake 请确定您使用 @ 符号为集合名称添加前缀。从此处 提供的规则集合中选择。