#Конфигурация Chains

#Обзор

Tekton Chains — это контроллер Kubernetes Custom Resource Definition (CRD), который позволяет управлять безопасностью цепочки поставок в Tekton. В этом документе описывается, как настраивать Tekton Chains.

#Конфигурация

Конфигурация Chains хранится в ConfigMap с именем chains-config в namespace tekton-pipelines или tekton-chains. Вы можете изменить этот ConfigMap, чтобы повлиять на поведение Chains.

По умолчанию Tekton Chains автоматически развертывается через ресурс TektonConfig. Вы можете изменить ресурс TektonConfig, чтобы настроить Chains.

По сути, Tekton Operator синхронизирует конфигурацию Chains из ресурса TektonConfig в ресурс TektonChains, а затем отражает ее в ConfigMap chains-config.

Ниже приведена простая демонстрация различных способов настройки Chains.

#Конфигурация в ConfigMap chains-config

Ниже приведен пример ConfigMap chains-config:

apiVersion: v1
data:
  artifacts.oci.format: simplesigning
  artifacts.oci.storage: oci
  artifacts.pipelinerun.format: in-toto
  artifacts.pipelinerun.storage: oci
  artifacts.taskrun.format: in-toto
  artifacts.taskrun.storage: oci
  transparency.enabled: "false"
kind: ConfigMap
metadata:
  name: chains-config

#Конфигурация в TektonConfig

В ресурсе TektonConfig конфигурация Chains выглядит примерно так:

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
  name: config
spec:
  chain:
    disabled: false
    generateSigningSecret: false
    controllerEnvs:
      - name: SIGSTORE_ID_TOKEN
        value: "<your-id-token>"

    artifacts.oci.format: simplesigning
    artifacts.oci.storage: oci
    artifacts.pipelinerun.format: in-toto
    artifacts.pipelinerun.storage: oci
    artifacts.taskrun.format: in-toto
    artifacts.taskrun.storage: oci

    signers.x509.fulcio.enabled: <false>
    signers.x509.fulcio.address: <ttps://fulcio.sigstore.dev>
    signers.x509.fulcio.issuer: <https://oauth2.sigstore.dev/auth>
    transparency.enabled: <false>
    transparency.url: <https://rekor.sigstore.dev>

    storage.oci.repository.insecure: true

    options:
      deployments:
        tekton-chains-controller:
          spec:
            template:
              spec:
                containers:
                - name: tekton-chains-controller
                  env:
                    - name: SIGSTORE_ID_TOKEN
                      value: "<your-id-token>"
                  resources: {}

#Конфигурация TaskRun

Пояснение

• slsa/v1 — это псевдоним in-toto для обратной совместимости.
• Если хранилище oci, аттестации будут сохраняться вместе с самим сохраненным OCI artifact. Дополнительные сведения см. в cosign documentation.
• Если хранилище tekton, аттестации будут сохраняться в аннотациях TaskRun Tekton.

#Конфигурация PipelineRun

Аналогично TaskRun, вы можете настроить подпись и хранение PipelineRun.

• Если хранилище oci, аттестации будут сохраняться вместе с самим сохраненным OCI artifact. Дополнительные сведения см. в cosign documentation.
• Если хранилище tekton, аттестации будут сохраняться в аннотациях PipelineRun Tekton.

#Конфигурация OCI

• Если хранилище oci, аттестации будут сохраняться вместе с самим сохраненным OCI artifact. Дополнительные сведения см. в cosign documentation.
• Если хранилище tekton, аттестации будут сохраняться в аннотациях TaskRun или PipelineRun Tekton.

#Конфигурация хранилища

Chains поддерживает несколько бэкендов хранения для сохранения аттестаций и подписей. Ниже перечислены некоторые из наиболее распространенных вариантов; для более подробной конфигурации см. Storage Configuration

Пояснение

• Если в вашем OCI repository используется самоподписанный сертификат, необходимо установить storage.oci.repository.insecure в true, чтобы разрешить небезопасное соединение.

#Конфигурация возможностей Sigstore

#Журнал прозрачности

Примечание: Если transparency.enabled установлен в manual, то в журнал прозрачности будут загружаться только TaskRuns и PipelineRuns со следующей аннотацией:

chains.tekton.dev/transparency-upload: "true"

#Подписание без ключа с Fulcio

#Ссылки

• Tekton Chains Configuration
• Additional fields as options