#Конфигурация Chains

#Обзор

Tekton Chains — это контроллер Kubernetes Custom Resource Definition (CRD), который позволяет управлять безопасностью цепочки поставок в Tekton. В этом документе описано, как настраивать Tekton Chains.

#Конфигурация

Конфигурация Chains хранится в ConfigMap с именем chains-config в пространстве имен tekton-pipelines или tekton-chains. Вы можете изменить эту ConfigMap, чтобы изменить поведение Chains.

По умолчанию Tekton Chains автоматически разворачивается через ресурс TektonConfig. Вы можете изменить ресурс TektonConfig, чтобы настроить Chains.

По сути, Tekton Operator будет синхронизировать конфигурацию Chains из ресурса TektonConfig в ресурс TektonChains, а затем в конечном итоге отражать ее в ConfigMap chains-config.

Ниже приведена простая демонстрация различных способов настройки Chains.

#Конфигурация в ConfigMap chains-config

Ниже приведен пример ConfigMap chains-config:

apiVersion: v1
data:
  artifacts.oci.format: simplesigning
  artifacts.oci.storage: oci
  artifacts.pipelinerun.format: in-toto
  artifacts.pipelinerun.storage: oci
  artifacts.taskrun.format: in-toto
  artifacts.taskrun.storage: oci
  transparency.enabled: "false"
kind: ConfigMap
metadata:
  name: chains-config

Совет: Булевы значения представлены строками, например "true" или "false".

Описание полей YAML:

• artifacts.oci.format: Формат attestations.
• artifacts.oci.storage: Бэкенд хранения для attestations.
• artifacts.pipelinerun.format: Формат attestations для PipelineRuns.
• artifacts.pipelinerun.storage: Бэкенд хранения для attestations для PipelineRuns.
• artifacts.taskrun.format: Формат attestations для TaskRuns.
• artifacts.taskrun.storage: Бэкенд хранения для attestations для TaskRuns.

#Конфигурация в TektonConfig

В ресурсе TektonConfig конфигурация Chains выглядит примерно так:

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
  name: config
spec:
  chain:
    disabled: false
    generateSigningSecret: false
    controllerEnvs:
      - name: SIGSTORE_ID_TOKEN
        value: "<your-id-token>"

    artifacts.oci.format: simplesigning
    artifacts.oci.storage: oci
    artifacts.pipelinerun.format: in-toto
    artifacts.pipelinerun.storage: oci
    artifacts.taskrun.format: in-toto
    artifacts.taskrun.storage: oci

    signers.x509.fulcio.enabled: <false>
    signers.x509.fulcio.address: <ttps://fulcio.sigstore.dev>
    signers.x509.fulcio.issuer: <https://oauth2.sigstore.dev/auth>
    transparency.enabled: <false>
    transparency.url: <https://rekor.sigstore.dev>

    storage.oci.repository.insecure: true

    options:
      deployments:
        tekton-chains-controller:
          spec:
            template:
              spec:
                containers:
                - name: tekton-chains-controller
                  env:
                    - name: SIGSTORE_ID_TOKEN
                      value: "<your-id-token>"
                  resources: {}

Совет: Булевы значения имеют исходный тип, например true или false.

Описание полей YAML:

• spec.chain: Этот раздел содержит конфигурацию Chains.
  • disabled: Нужно ли отключить Chains.
    • Эта конфигурация уникальна для TektonConfig и отсутствует в TektonChains.
  • generateSigningSecret: Нужно ли генерировать secret для подписи.
    • Эта конфигурация уникальна для TektonConfig и отсутствует в TektonChains.
  • controllerEnvs: Переменные окружения для контроллера Tekton Chains.
    • Эта конфигурация уникальна для TektonConfig и отсутствует в TektonChains.
    • name: Имя переменной окружения.
    • value: Значение переменной окружения.
  • options: Параметры для контроллера Tekton Chains.
    • Эта конфигурация уникальна для TektonConfig и отсутствует в TektonChains.
    • deployments.tekton-chains-controller: Параметры развертывания для контроллера Tekton Chains.
      • spec.template.spec.containers.env.SIGSTORE_ID_TOKEN: ID token для контроллера Tekton Chains.
    • Более подробную информацию можно найти в Additional fields as options
  • Следующие конфигурации также существуют в TektonChains и в конечном итоге будут синхронизированы с ConfigMap chains-config.
    • artifacts.oci.format
    • artifacts.oci.storage
    • artifacts.pipelinerun.format
    • artifacts.pipelinerun.storage
    • artifacts.taskrun.format
    • artifacts.taskrun.storage
    • storage.oci.repository.insecure
    • signers.x509.fulcio.address
    • signers.x509.fulcio.issuer
    • transparency.enabled
    • transparency.url

#Конфигурация TaskRun

Пояснение

• slsa/v1 — это псевдоним in-toto для обратной совместимости.
• Если storage — oci, attestations будут храниться вместе с самим сохраненным OCI-артефактом. Дополнительную информацию см. в документации cosign.
• Если storage — tekton, attestations будут храниться в аннотациях Tekton TaskRun.

#Конфигурация PipelineRun

Как и для TaskRun, вы можете настроить подпись и storage для PipelineRun.

• Если storage — oci, attestations будут храниться вместе с самим сохраненным OCI-артефактом. Дополнительную информацию см. в документации cosign.
• Если storage — tekton, attestations будут храниться в аннотациях Tekton PipelineRun.

#Конфигурация OCI

• Если storage — oci, attestations будут храниться вместе с самим сохраненным OCI-артефактом. Дополнительную информацию см. в документации cosign.
• Если storage — tekton, attestations будут храниться в аннотациях Tekton TaskRun или PipelineRun.

#Конфигурация хранилища

Chains поддерживает несколько бэкендов хранения для сохранения attestations и signatures. Ниже перечислены некоторые из наиболее распространенных; для более подробной конфигурации см. Конфигурация хранилища

Пояснение

• Если ваш OCI repository использует самоподписанный сертификат, необходимо установить storage.oci.repository.insecure в true, чтобы разрешить insecure connection.

#Конфигурация возможностей Sigstore

#Transparency Log

Примечание: Если transparency.enabled установлен в manual, то только TaskRuns и PipelineRuns со следующей аннотацией будут загружаться в transparency log:

chains.tekton.dev/transparency-upload: "true"

#Бесключевая подпись с Fulcio

#Ссылки

• Tekton Chains Configuration
• Additional fields as options