使用企业合同管理合规性

流程

1. 在命令行中配置您的策略作为 JSON 或 YAML 字符串，如下例所示：

   ec validate image --policy '{
       "sources": [
           {
               "policy": ["oci::quay.io/enterprise-contract/ec-release-policy:latest"],
               "data": ["git::https://github.com/enterprise-contract/ec-policies//example/data"],
               "config": {"include": ["@minimal"]}
           }
       ]
   }' ...

   Copy to Clipboard Toggle word wrap

2. （可选）从您的企业合同策略中排除特定规则软件包，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "exclude": [
             "attestation_task_bundle",
             "slsa_build_scripted_build"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   此命令包含来自每个软件包的每个规则，但指定软件包中的规则除外。

3. （可选） Exclude 单个规则，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "exclude": [
             "attestation_task_bundle.unacceptable_task_bundle"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   此命令包括 attestation_task_bundle 软件包中的每个规则，但 unacceptable_task_bundle 规则除外。

4. （可选）只包括特定软件包的规则，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "include": [
             "test",
             "java"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   此命令仅包含指定软件包中的规则。

5. （可选）只包括特定软件包中的一些规则。这意味着，您可以指定 include 和 exclude 来仅选择要包含企业合同策略的规则，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "include": [
             ""*"", 

   1

   
             "attestation_task_bundle.unacceptable_task_bundle"
           ],
           "exclude": [
             "attestation_task_bundle.*"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   1

   星号 integrity 充当匹配任何软件包的通配符。请注意，它不匹配部分名称，这意味着您无法指定 "s*" 以匹配以"s"开头的每个软件包。

   这些命令指定您 只包括 attestation _task_bundle 软件包中的 unacceptable_task_bundle 规则，并排除该软件包中的所有其他规则。

6. （可选） Exclude 某些检查，以便企业合同可以验证您的容器镜像，即使这些检查失败或未完成，如下例所示：

   {
     "sources": [
       {
         "policy": [
           "oci::quay.io/enterprise-contract/ec-release-policy:latest"
         ],
         "data": [
           "git::https://github.com/enterprise-contract/ec-policies//example/data"
         ],
         "config": {
           "exclude": [
             "test:get-clair-scan",
             "test:clamav-scan"
           ]
         }
       }
     ]
   }

   Copy to Clipboard Toggle word wrap

   此命令指定，如果已确定的检查失败或未完成，企业合同仍然可以完成以验证您的容器镜像。

7. （可选）通过运行 config.policy. include 命令或 config.policy.exclude 命令以及字符串列表来修改软件包中的规则的默认值。

   您的字符串列表应包括以下之一：

   • "package name" - 从可用 规则集合列表中的软件包 中进行选择。
   • "rule name" - 输入软件包名称和规则代码（用点分隔）来指定规则名称，如下例所示：attestation _type.unknown_att_type。您可以在此处找到"Attestation type"下的规则代码。https://enterprisecontract.dev/docs/ec-policies/release_policy.html#attestation_type_package
   • "package name:term" - 某些策略规则处理项目列表。将 "term" 添加到 "package name" 字符串时，您可以从该列表中排除或包含特定项。这的工作方式与"软件包名称"类似，但它仅适用于与该术语匹配的软件包中的策略规则。例如，如果您运行 test 软件包，您可以选择忽略给定的测试案例，但包含所有测试。
   • "rule name:term" - 这与 "package name:term" 类似，除了从软件包中包含或排除某个项目外，您可以包括 ot 排除特定的软件包 策略规则。
   • "@collection name" - 将其添加到字符串中，以指定预定义的规则集合。TMake 请确定您使用 @ 符号为集合名称添加前缀。从此处 提供的规则集合中选择。

流程

1. 在 CLI 中，运行这个命令：co sign generate-key-pair。
2. 出现提示时，输入新密码作为密钥对。确保您的密码是 memorable 且强强。

流程

1. 从 OpenShift 集群下载 ec 二进制文件：

   1. 登录 OpenShift Web 控制台。在主页中，单击右上角的 ? 图标，然后选择 Command Line Tools。
   2. 在 ec download 部分中，单击您的平台的链接。

   3. 打开终端，解压缩 .gz 文件，并在 ec 二进制文件上设置 execute 位：

      Linux 和 macOS 示例

      • $ gunzip ec-amd64.gz
      • $ chmod +x ec-amd64

   4. 将 ec 二进制文件移到 $PATH 环境中的目录中：

      Example

      $ sudo mv ec-amd64 /usr/local/bin/ec

2. 为容器镜像签名和验证配置 shell 环境。

   1. 打开终端，并从 sigstore-ocp 目录中运行 tas-env-variables.sh 脚本：

      Example

      cd sigstore-ocp
      source tas-env-variables.sh

      Copy to Clipboard Toggle word wrap

   2. （可选）手动设置环境变量：

      Example

      export OPENSHIFT_APPS_SUBDOMAIN=apps.$(oc get dns cluster -o jsonpath='{ .spec.baseDomain }')
      export OIDC_AUTHENTICATION_REALM=sigstore
      export FULCIO_URL=https://fulcio.$OPENSHIFT_APPS_SUBDOMAIN
      export OIDC_ISSUER_URL=https://keycloak-keycloak-system.$OPENSHIFT_APPS_SUBDOMAIN/auth/realms/$OIDC_AUTHENTICATION_REALM
      export REKOR_URL=https://rekor.$OPENSHIFT_APPS_SUBDOMAIN
      export TUF_URL=https://tuf.$OPENSHIFT_APPS_SUBDOMAIN

      Copy to Clipboard Toggle word wrap

      Example

      $ source ./tas-env-vars.sh

3. 初始化更新框架(TUF)系统：

   Example

   cosign initialize --mirror=$TUF_URL --root=$TUF_URL/root.json

4. 为您的容器镜像签名：

   语法

   cosign sign -y --fulcio-url=$FULCIO_URL --rekor-url=$REKOR_URL --oidc-issuer=$OIDC_ISSUER_URL IMAGE_NAME

   Example

   cosign sign -y --fulcio-url=$FULCIO_URL --rekor-url=$REKOR_URL --oidc-issuer=$OIDC_ISSUER_URL example-hello-world@sha256:2788a47fd0ef1ece30898c1e608050ea71036d3329b9772dbb3d1f693f693f745c

   在打开的 Web 浏览器中，使用电子邮件地址签署容器镜像。

5. 创建 predicate.json 文件：

   Example

   {
     "builder": {
       "id": "https://localhost/dummy-id"
     },
     "buildType": "https://example.com/tekton-pipeline",
     "invocation": {},
     "buildConfig": {},
     "metadata": {
       "completeness": {
         "parameters": false,
         "environment": false,
         "materials": false
       },
       "reproducible": false
     },
     "materials": []
   }

   Copy to Clipboard Toggle word wrap

6. 将 predicate.json 文件与容器镜像关联：

   语法

   cosign attest -y --predicate ./predicate.json \
   --type slsaprovenance IMAGE_NAME:TAG

   Copy to Clipboard Toggle word wrap

   Example

   $ cosign attest -y --predicate ./predicate.json \
   --type slsaprovenance example.io/hello-world:latest

   Copy to Clipboard Toggle word wrap

7. 验证容器镜像至少有一个至少测试和签名：

   语法

   cosign tree IMAGE_NAME:TAG

   Example

   $ cosign tree example.io/hello-world:latest
   📦 Supply Chain Security Related artifacts for an image: example.io/hello-world@sha256:7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35
   └── 💾 Attestations for an image tag: example.io/hello-world:sha256-7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35.att
      └── 🍒 sha256:40d94d96a6d3ab3d94b429881e1b470ae9a3cac55a3ec874051bdecd9da06c2e
   └── 🔐 Signatures for an image tag: example.io/hello-world:sha256-7de5fa822a9d1e507c36565ee0cf50c08faa64505461c844a3ce3944d23efa35.sig
      └── 🍒 sha256:f32171250715d4538aec33adc40fac2343f5092631d4fc2457e2116a489387b7

   Copy to Clipboard Toggle word wrap

8. 使用企业合同验证容器镜像：

   语法

   ec validate image --image IMAGE_NAME:TAG \
   --certificate-identity-regexp 'SIGNER_EMAIL_ADDR' \
   --certificate-oidc-issuer-regexp 'keycloak-keycloak-system' \
   --output yaml --show-successes

   Copy to Clipboard Toggle word wrap

   Example

   $ ec validate image --image example.io/hello-world:latest \
   --certificate-identity 'jdoe@example.com' \
   --certificate-oidc-issuer 'keycloak-keycloak-system' \
   --output yaml --show-successes
   
   success: true
   successes:
     - metadata:
         code: builtin.attestation.signature_check
       msg: Pass
     - metadata:
         code: builtin.attestation.syntax_check
       msg: Pass
     - metadata:
         code: builtin.image.signature_check
       msg: Pass
   ec-version: v0.1.2427-499ef12
   effective-time: "2024-01-21T19:57:51.338191Z"
   key: ""
   policy: {}
   success: true

   Copy to Clipboard Toggle word wrap

   企业合同生成通过/失败报告，其中包含有关任何安全违反情况的详细信息。当您添加 the- info 标志时，报告会包括任何违反情况的更多详情和可能的解决方案。