#Введение

#Введение в Tekton Chains

Tekton Chains — это контроллер определения пользовательского ресурса Kubernetes (CRD), который предоставляет функции безопасности цепочки поставок для конвейеров Tekton. Он работает, наблюдая за выполнением TaskRun и PipelineRun, захватывая соответствующую информацию и сохраняя ее в формате с криптографической подписью. Это обеспечивает безопасный и проверяемый учет всех действий в конвейере, гарантируя целостность вашей цепочки поставок программного обеспечения.

Основанный на базе Tekton Pipelines, Tekton Chains расширяет возможности CI/CD с функциями безопасности, которые позволяют организациям реализовывать практики безопасности цепочки поставок программного обеспечения в соответствии с отраслевыми стандартами, такими как SLSA (Уровни цепочки поставок для программных артефактов).

#Преимущества Tekton Chains

Основные преимущества Tekton Chains следующие:

• Безопасная цепочка поставок программного обеспечения

  Tekton Chains обеспечивает криптографическую проверку всех артефактов, созданных в вашем конвейере CI/CD, гарантируя, что ваше программное обеспечение не было подделано с момента сборки до развертывания.

• Соблюдение стандартов SLSA

  Поддерживает несколько форматов доказательства SLSA, помогая организациям соответствовать отраслевым стандартам безопасности цепочки поставок и достигать более высоких уровней соблюдения SLSA.

• Бесшовная интеграция

  Работает нативно с Tekton Pipelines, требуя минимальных изменений конфигурации в существующих рабочих процессах CI/CD, добавляя при этом надежные функции безопасности.

• Гибкие варианты хранения

  Поддерживает несколько хранилищ, включая Tekton, OCI реестры, GCS и другие, позволяя вам хранить подписи и аттестации там, где это имеет наибольший смысл для вашей организации.

• Множество методов подписания

  Поддерживает различные механизмы подписи, включая x509, Cosign и системы KMS (GCP KMS, Hashicorp Vault, AWS KMS, Azure KMS), что обеспечивает гибкость в том, как вы защищаете свою цепочку поставок.

#Сценарии использования

Основные сценарии использования Tekton Chains следующие:

• Безопасные конвейеры CI/CD

  Организации могут использовать Tekton Chains для добавления криптографической проверки в свои существующие конвейеры CI/CD, обеспечивая, чтобы все производимые артефакты были подписаны и проверяемы.

• Требования к соблюдению стандартов

  Для организаций, которым необходимо соответствовать нормативным или отраслевым требованиям к безопасности цепочки поставок программного обеспечения, Tekton Chains предоставляет необходимые аттестации и проверки.

• Подписывание образов контейнеров

  Автоматически подписывайте образы контейнеров, созданные в рамках конвейеров Tekton, обеспечивая развертывание в производственных средах только проверенных образов.

• Генерация доказательства происхождения

  Генерируйте и подписывайте доказательства происхождения SLSA для всех артефактов, созданных в вашем конвейере, предоставляя проверяемый учет того, как был создан каждый артефакт.

• Прозрачность ведения журналов

  Храните подписанные аттестации в журналах прозрачности, таких как Rekor, что обеспечивает стороннюю проверку вашей цепочки поставок программного обеспечения.

#Ограничения

• Tekton Chains требует надлежащего управления ключами для подписи артефактов. Безопасность вашей цепочки поставок зависит от безопасности вашихSigning keys.

• Некоторые функции могут требовать дополнительной конфигурации внешних служб, таких как реестры OCI или системы KMS.

• Tekton Chains наблюдает за TaskRuns и PipelineRuns после их завершения, поэтому может быть небольшая задержка между окончанием конвейера и доступностью аттестаций.