第 1 章 选择安装平台

流程

1. 使用具有 cluster-admin 角色的用户登录 OpenShift Web 控制台。
2. 从 Administrator 视角中，展开 Operators 导航菜单，然后点 OperatorHub。
3. 在搜索字段中，键入 trusted，然后单击 Red Hat Trusted Artifact Signer 标题。
4. 单击 Install 按钮，以显示 Operator 详情。

5. 接受默认值，点 Install Operator 页面中的 Install，并等待安装完成。

   重要

   安装完成后，会自动为您创建一个新项目。新项目名称是 trusted-artifact-signer。

   注意

   Trusted Artifact Signer operator 安装到 openshift-operators 命名空间中，所有依赖项都会被自动安装。

6. 可选。您可以为 Trusted Artifact Signer 服务使用替代数据库，而不是默认的数据库供应商。如果要使用 Amazon 的关系数据库服务(RDS) 或 OpenShift 上的自我管理的数据库，请在继续安装前按照其中一个流程进行操作。配置其中一个其他数据库提供程序后，您可以继续这个过程的下一步。

7. 以部署 Trusted Artifact Signer 服务。

   1. 从导航菜单中展开 Operators，点 Installed Operators。
   2. 从项目下拉列表中，选择 trusted-artifact-signer。
   3. 点 Red Hat Trusted Artifact Signer。
   4. 单击 Securesign 选项卡，然后单击 Create Securesign 按钮。
   5. 在 Create Securesign 页面上，选择 YAML 视图。

   6. 您可以在部署期间将 Google OAuth、Amazon STS、红帽的 SSO 或 GitHub OAuth 配置为初始 OIDC 供应商。在 spec.fulcio.config.OIDCIssuers 部分下，使用 OIDC 供应商 URL 编辑以下三行，并相应地设置 ClientID。

      Example

      ...
      OIDCIssuers:
        - Issuer: 'OIDC_ISSUER_URL':
          ClientID: CLIENT_ID
          IssuerURL: 'OIDC_ISSUER_URL'
          Type: email
      ...

      重要

      您可以在同一配置中定义多个不同的 OIDC 供应商。

      注意

      如果红帽的 SSO 已作为 OIDC 供应商实施，请运行以下命令查找签发者 URL：

      $ echo https://$(oc get route keycloak -n keycloak-system | tail -n 1 | awk '{print $2}')/auth/realms/trusted-artifact-signer

      将 ClientID 设置为 trusted-artifact-signer。

   7. 可选。如果使用除默认数据库以外的其他数据库，则在 spec.trillian 部分下，将 create 设置为 false，并指定数据库 secret 对象的名称。

      Example

      ...
      trillian:
        database:
          create: false
          databaseSecretRef:
            name: trillian-mysql
      ...

   8. 点 Create 按钮。

8. 点 All instances 选项卡观察部署状态，直到 CTlog、Fulcio、Rekor、Trillian 和 TUF 实例就绪。

   注意

   Securesign 实例不提供状态。

9. 您可以在 OpenShift 控制台中使用 Prometheus 检查新的 Trusted Artifact Signer 服务的健康状态。在导航菜单中，展开 Observe，然后点 Dashboards。
10. 通过签署容器镜像 或 Git 提交 来验证安装。https://docs.redhat.com/en/documentation/red_hat_trusted_artifact_signer/1/html/deployment_guide/verify_the_trusted_artifact_signer_service_installation#signing-and-verifying-containers-by-using-cosign-from-the-command-line-interface_deploy