3.17. 为 OpenShift Pipelines 提供链安全使用 Tekton 链

流程

1. 设置 Kubernetes 服务帐户的命名空间和名称。

   $ export NAMESPACE=<namespace> 1
   $ export SERVICE_ACCOUNT_NAME=<service_account> 2

   1

   与服务帐户关联的命名空间。

   2

   服务帐户的名称。

2. 创建 Kubernetes secret。

   $ oc create secret registry-credentials \
     --from-file=.dockerconfigjson \ 1
     --type=kubernetes.io/dockerconfigjson \
     -n $NAMESPACE

   1

   使用 Docker 配置文件的路径替换。默认路径为 ~/.docker/config.json。

3. 授予服务帐户对 secret 的访问权限。

   $ oc patch serviceaccount $SERVICE_ACCOUNT_NAME \
     -p "{\"imagePullSecrets\": [{\"name\": \"registry-credentials\"}]}" -n $NAMESPACE

   如果对 Red Hat OpenShift Pipelines 分配到所有任务的默认 pipeline 服务帐户进行补丁，Red Hat OpenShift Pipelines Operator 将覆盖服务帐户。作为最佳实践，您可以执行以下步骤：

   1. 创建单独的服务帐户，以分配给用户的任务运行。

      $ oc create serviceaccount <service_account_name>

   2. 通过设置任务运行模板中的 serviceaccountname 字段的值，将服务帐户关联到运行任务。

      apiVersion: tekton.dev/v1beta1
      kind: TaskRun
      metadata:
      name: build-push-task-run-2
      spec:
      serviceAccountName: build-bot 1
      taskRef:
        name: build-push
      ...

      1

      使用新创建的服务帐户的名称替换。

流程

1. 创建加密的 x509 密钥对，并将它保存为 Kubernetes secret。有关创建密钥对并将其保存为 secret 的更多信息，请参阅 "Signing secrets in Tekton Chains"。

2. 在 Tekton Chains 配置中，禁用 OCI 存储，并将任务运行存储和格式设置为 tekton。在 TektonConfig 自定义资源中设置以下值：

   apiVersion: operator.tekton.dev/v1alpha1
   kind: TektonConfig
   metadata:
     name: config
   spec:
   # ...
       chain:
         artifacts.oci.storage: ""
         artifacts.taskrun.format: tekton
         artifacts.taskrun.storage: tekton
   # ...

   有关使用 TektonConfig 自定义资源配置 Tekton 链的更多信息，请参阅"配置 Tekton 链"。

3. 要重启 Tekton Chains 控制器以确保应用了修改后的配置，请输入以下命令：

   $ oc delete po -n openshift-pipelines -l app=tekton-chains-controller

4. 输入以下命令来创建任务运行：

   $ oc create -f https://raw.githubusercontent.com/tektoncd/chains/main/examples/taskruns/task-output-image.yaml 1

   1

   将示例 URI 替换为指向任务运行的 URI 或文件路径。

   输出示例

   taskrun.tekton.dev/build-push-run-output-image-qbjvh created

5. 输入以下命令来检查步骤的状态。等待进程完成。

   $ tkn tr describe --last

   输出示例

   [...truncated output...]
   NAME                            STATUS
   ∙ create-dir-builtimage-9467f   Completed
   ∙ git-source-sourcerepo-p2sk8   Completed
   ∙ build-and-push                Completed
   ∙ echo                          Completed
   ∙ image-digest-exporter-xlkn7   Completed

6. 要从存储为 base64 编码注解的对象检索签名，请输入以下命令：

   $ tkn tr describe --last -o jsonpath="{.metadata.annotations.chains\.tekton\.dev/signature-taskrun-$TASKRUN_UID}" | base64 -d > sig

   $ export TASKRUN_UID=$(tkn tr describe --last -o  jsonpath='{.metadata.uid}')

7. 要使用您创建的公钥验证签名，请输入以下命令：

流程

1. 创建加密的 x509 密钥对，并将它保存为 Kubernetes secret：

   $ cosign generate-key-pair k8s://openshift-pipelines/signing-secrets

   提示时提供密码。Cosign 将生成的私钥作为 openshift-pipelines 命名空间中的 signing-secrets Kubernetes secret 的一部分存储在 openshift-pipelines 命名空间中，并将公钥写入 cosign.pub 本地文件。

2. 为镜像 registry 配置身份验证。

   1. 要将 Tekton Chains 控制器配置为将签名推送到 OCI registry，请使用与任务运行服务帐户关联的凭证。如需更多信息，请参阅"授权到 OCI registry"部分。

   2. 要为构建并推送到 registry 的 Kaniko 任务配置身份验证，请创建一个包含所需凭证的 docker config.json 文件的 Kubernetes secret。

      $ oc create secret generic <docker_config_secret_name> \ 1
        --from-file <path_to_config.json> 2

      1

      使用 docker config secret 的名称替换。

      2

      使用 docker config.json 文件的路径替换。

3. 通过在 chains-config 对象中设置 artifacts.taskrun.format、artifacts.taskrun.storage 和 transparency.enabled 参数来配置 Tekton 链 ：

   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"artifacts.taskrun.format": "in-toto"}}'
   
   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"artifacts.taskrun.storage": "oci"}}'
   
   $ oc patch configmap chains-config -n openshift-pipelines -p='{"data":{"transparency.enabled": "true"}}'

4. 启动 Kaniko 任务。

   1. 将 Kaniko 任务应用到集群。

      $ oc apply -f examples/kaniko/kaniko.yaml 1

      1

      使用 Kaniko 任务的 URI 或文件路径替换。

   2. 设置适当的环境变量。

      $ export REGISTRY=<url_of_registry> 1
      
      $ export DOCKERCONFIG_SECRET_NAME=<name_of_the_secret_in_docker_config_json> 2

      1

      使用您要推送镜像的 registry 的 URL 替换。

      2

      使用 docker config.json 文件中的 secret 名称替换。

   3. 启动 Kaniko 任务。

      $ tkn task start --param IMAGE=$REGISTRY/kaniko-chains --use-param-defaults --workspace name=source,emptyDir="" --workspace name=dockerconfig,secret=$DOCKERCONFIG_SECRET_NAME kaniko-chains

      观察此任务的日志，直到所有步骤都完成。身份验证成功后，最终镜像将推送到 $REGISTRY/kaniko-chains。

5. 等待一分钟，以允许 Tekton 链生成证据并对其进行签名，然后在任务运行时检查 chains.tekton.dev/signed=true 注解的可用性。

   $ oc get tr <task_run_name> \ 1
   -o json | jq -r .metadata.annotations
   
   {
     "chains.tekton.dev/signed": "true",
     ...
   }

   1

   使用任务运行的名称替换。

6. 验证镜像和 attestation。

   $ cosign verify --key cosign.pub $REGISTRY/kaniko-chains
   
   $ cosign verify-attestation --key cosign.pub $REGISTRY/kaniko-chains

7. 在 Rekor 中找到镜像的验证情况。

   1. 获取 $REGISTRY/kaniko-chains 镜像摘要。您可以搜索任务运行或拉取镜像以提取摘要。

   2. 搜索 Rekor 以查找与镜像 sha256 摘要匹配的所有条目。

      $ rekor-cli search --sha <image_digest> 1
      
      <uuid_1> 2
      <uuid_2> 3
      ...

      1

      使用镜像的 sha256 摘要替换。

      2

      第一个匹配通用唯一标识符(UUID)。

      3

      第二个匹配 UUID。

      搜索结果显示匹配条目的 UUID。其中其中一个 UUID 包含 attestation。

   3. 检查 attestation。

      $ rekor-cli get --uuid <uuid> --format json | jq -r .Attestation | base64 --decode | jq