4.16. OpenShift Pipelines 공급망 보안에 Tekton Chains 사용

절차

1. OpenShift Container Platform 클러스터에 대한 TektonChain CR을 만듭니다.

   apiVersion: operator.tekton.dev/v1alpha1
   kind: TektonChain
   metadata:
     name: chain
   spec:
     targetNamespace: openshift-pipelines

2. TektonChain CR을 적용합니다.

   $ oc apply -f TektonChain.yaml 1

   1

   TektonChain CR의 파일 이름으로 대체합니다.

3. 설치 상태를 확인합니다.

   $ oc get tektonchains.operator.tekton.dev

절차

1. Kubernetes 서비스 계정의 네임스페이스 및 이름을 설정합니다.

   $ export NAMESPACE=<namespace> 1
   $ export SERVICE_ACCOUNT_NAME=<service_account> 2

   1

   서비스 계정과 연결된 네임스페이스입니다.

   2

   서비스 계정의 이름입니다.

2. Kubernetes 보안을 생성합니다.

   $ oc create secret registry-credentials \
     --from-file=.dockerconfigjson \ 1
     --type=kubernetes.io/dockerconfigjson \
     -n $NAMESPACE

   1

   Docker 구성 파일의 경로로 바꿉니다. 기본 경로는 ~/.docker/config.json 입니다.

3. 시크릿에 대한 서비스 계정 액세스 권한을 부여합니다.

   $ oc patch serviceaccount $SERVICE_ACCOUNT_NAME \
     -p "{\"imagePullSecrets\": [{\"name\": \"registry-credentials\"}]}" -n $NAMESPACE

   Red Hat OpenShift Pipelines가 모든 작업 실행에 할당하는 기본 파이프라인 서비스 계정을 패치하는 경우 Red Hat OpenShift Pipelines Operator는 서비스 계정을 덮어씁니다. 모범 사례에서는 다음 단계를 수행할 수 있습니다.

   1. 사용자 작업 실행에 할당할 별도의 서비스 계정을 생성합니다.

      $ oc create serviceaccount <service_account_name>

   2. 작업 실행 템플릿에서 serviceaccountname 필드의 값을 설정하여 서비스 계정을 작업 실행에 연결합니다.

      apiVersion: tekton.dev/v1beta1
      kind: TaskRun
      metadata:
      name: build-push-task-run-2
      spec:
      serviceAccountName: build-bot 1
      taskRef:
        name: build-push
      ...

      1

      새로 생성된 서비스 계정의 이름으로 바꿉니다.

절차

1. 암호화된 x509 키 쌍을 생성하고 Kubernetes 시크릿으로 저장합니다.

   $ cosign generate-key-pair k8s://openshift-pipelines/signing-secrets

   메시지가 표시되면 암호를 입력합니다. cosign은 결과 개인 키를 서명-secrets Kubernetes 시크릿의 일부로 openshift-pipelines 네임스페이스에 저장하고 공개 키를 cosign.pub 로컬 파일에 씁니다.

2. 이미지 레지스트리에 대한 인증을 구성합니다.

   1. 서명을 OCI 레지스트리로 푸시하기 위한 Tekton 체인 컨트롤러를 구성하려면 작업 실행의 서비스 계정과 연결된 인증 정보를 사용합니다. 자세한 내용은 " OCI 레지스트리 인증" 섹션을 참조하십시오.

   2. 이미지를 빌드하고 레지스트리로 푸시하는 Kaniko 작업에 대한 인증을 구성하려면 필수 인증 정보가 포함된 docker config.json 파일의 Kubernetes 보안을 생성합니다.

      $ oc create secret generic <docker_config_secret_name> \ 1
        --from-file <path_to_config.json> 2

      1

      docker config secret의 이름으로 바꿉니다.

      2

      docker config.json 파일의 경로로 바꿉니다.

3. chain-config 오브젝트에서 artifacts.taskrun.format,artifacts.taskrun.storage 및 transparency.enabled 매개변수를 설정하여 Tekton Chains를 구성합니다.

   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"artifacts.taskrun.format": "in-toto"}}'
   
   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"artifacts.taskrun.storage": "oci"}}'
   
   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"transparency.enabled": "true"}}'

4. Kaniko 작업을 시작합니다.

   1. Kaniko 작업을 클러스터에 적용합니다.

      $ oc apply -f examples/kaniko/kaniko.yaml 1

      1

      Kaniko 작업의 URI 또는 파일 경로로 사용하십시오.

   2. 적절한 환경 변수를 설정합니다.

      $ export REGISTRY=<url_of_registry> 1
      
      $ export DOCKERCONFIG_SECRET_NAME=<name_of_the_secret_in_docker_config_json> 2

      1

      이미지를 푸시하려는 레지스트리의 URL로 바꿉니다.

      2

      docker config.json 파일에서 보안 이름으로 바꿉니다.

   3. Kaniko 작업을 시작합니다.

      $ tkn task start --param IMAGE=$REGISTRY/kaniko-chains --use-param-defaults --workspace name=source,emptyDir="" --workspace name=dockerconfig,secret=$DOCKERCONFIG_SECRET_NAME kaniko-chains

      모든 단계가 완료될 때까지 이 작업의 로그를 관찰합니다. 인증에 성공하면 최종 이미지가 $REGISTRY/kaniko-chains 로 푸시됩니다.

5. Tekton Chains가 provenance를 생성하고 서명할 수 있도록 1~2분 정도 기다린 후 작업 실행에서 chain.tekton.dev/signed=true 주석의 가용성을 확인합니다.

   $ oc get tr <task_run_name> \ 1
   -o json | jq -r .metadata.annotations
   
   {
     "chains.tekton.dev/signed": "true",
     ...
   }

   1

   작업 실행 이름으로 대체합니다.

6. 이미지와 attestation을 확인합니다.

   $ cosign verify --key cosign.pub $REGISTRY/kaniko-chains
   
   $ cosign verify-attestation --key cosign.pub $REGISTRY/kaniko-chains

7. Rekor에서 이미지에 대한 출처를 찾으십시오.

   1. $REGISTRY/kaniko-chains 이미지의 다이제스트를 가져옵니다. 작업 실행 내용을 검색하거나 이미지를 가져와 다이제스트를 추출할 수 있습니다.

   2. Rekor를 검색하여 이미지의 sha256 다이제스트와 일치하는 모든 항목을 찾습니다.

      $ rekor-cli search --sha <image_digest> 1
      
      <uuid_1> 2
      <uuid_2> 3
      ...

      1

      이미지의 sha256 다이제스트를 대체합니다.

      2

      첫 번째는 UUID(Universally unique identifier)와 일치합니다.

      3

      두 번째와 일치하는 UUID입니다.

      검색 결과에는 일치하는 항목의 UUID가 표시됩니다. 이러한 UUID 중 하나에 attestation이 있습니다.

   3. attestation을 확인합니다.

      $ rekor-cli get --uuid <uuid> --format json | jq -r .Attestation | base64 --decode | jq