#Конфигурация Chains

#Overview

Tekton Chains — это контроллер Kubernetes Custom Resource Definition (CRD), который позволяет управлять безопасностью вашей цепочки поставок в Tekton. В этом документе описывается, как настроить Tekton Chains.

#Configuration

Конфигурация Chains хранится в ConfigMap с именем chains-config в пространстве имён tekton-pipelines или tekton-chains. Вы можете изменить этот ConfigMap, чтобы изменить поведение Chains.

По умолчанию Tekton Chains разворачивается автоматически через ресурс TektonConfig. Вы можете изменить ресурс TektonConfig для настройки Chains.

По сути, Tekton Operator синхронизирует конфигурацию Chains из ресурса TektonConfig в ресурс TektonChains, а затем отражает её в ConfigMap chains-config.

Ниже приведена простая демонстрация различных способов настройки Chains.

#Конфигурация в ConfigMap chains-config

Ниже пример ConfigMap chains-config:

apiVersion: v1
data:
  artifacts.oci.format: simplesigning
  artifacts.oci.storage: oci
  artifacts.pipelinerun.format: in-toto
  artifacts.pipelinerun.storage: oci
  artifacts.taskrun.format: in-toto
  artifacts.taskrun.storage: oci
  transparency.enabled: "false"
kind: ConfigMap
metadata:
  name: chains-config

Советы: Булевы значения представлены строками, например "true" или "false".

Объяснение полей YAML:

• artifacts.oci.format: Формат аттестаций.
• artifacts.oci.storage: Хранилище для аттестаций.
• artifacts.pipelinerun.format: Формат аттестаций для PipelineRuns.
• artifacts.pipelinerun.storage: Хранилище аттестаций для PipelineRuns.
• artifacts.taskrun.format: Формат аттестаций для TaskRuns.
• artifacts.taskrun.storage: Хранилище аттестаций для TaskRuns.

#Конфигурация в TektonConfig

В ресурсе TektonConfig конфигурация Chains примерно следующая:

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
  name: config
spec:
  chain:
    disabled: false
    generateSigningSecret: false
    controllerEnvs:
      - name: SIGSTORE_ID_TOKEN
        value: "<your-id-token>"

    artifacts.oci.format: simplesigning
    artifacts.oci.storage: oci
    artifacts.pipelinerun.format: in-toto
    artifacts.pipelinerun.storage: oci
    artifacts.taskrun.format: in-toto
    artifacts.taskrun.storage: oci

    signers.x509.fulcio.enabled: <false>
    signers.x509.fulcio.address: <ttps://fulcio.sigstore.dev>
    signers.x509.fulcio.issuer: <https://oauth2.sigstore.dev/auth>
    transparency.enabled: <false>
    transparency.url: <https://rekor.sigstore.dev>

    storage.oci.repository.insecure: true

    options:
      deployments:
        tekton-chains-controller:
          spec:
            template:
              spec:
                containers:
                - name: tekton-chains-controller
                  env:
                    - name: SIGSTORE_ID_TOKEN
                      value: "<your-id-token>"
                  resources: {}

Советы: Булевы значения имеют исходный тип, например true или false.

Объяснение полей YAML:

• spec.chain: Этот раздел содержит конфигурацию Chains.
  • disabled: Отключить Chains или нет.
    • Эта настройка уникальна для TektonConfig и отсутствует в TektonChains.
  • generateSigningSecret: Генерировать секрет для подписи или нет.
    • Эта настройка уникальна для TektonConfig и отсутствует в TektonChains.
  • controllerEnvs: Переменные окружения для контроллера Tekton Chains.
    • Эта настройка уникальна для TektonConfig и отсутствует в TektonChains.
    • name: Имя переменной окружения.
    • value: Значение переменной окружения.
  • options: Опции для контроллера Tekton Chains.
    • Эта настройка уникальна для TektonConfig и отсутствует в TektonChains.
    • deployments.tekton-chains-controller: Опции развертывания контроллера Tekton Chains.
      • spec.template.spec.containers.env.SIGSTORE_ID_TOKEN: ID токен для контроллера Tekton Chains.
    • Более подробная поддержка описана в Additional fields as options
  • Следующие настройки также существуют в TektonChains и в конечном итоге синхронизируются в ConfigMap chains-config.
    • artifacts.oci.format
    • artifacts.oci.storage
    • artifacts.pipelinerun.format
    • artifacts.pipelinerun.storage
    • artifacts.taskrun.format
    • artifacts.taskrun.storage
    • storage.oci.repository.insecure
    • signers.x509.fulcio.address
    • signers.x509.fulcio.issuer
    • transparency.enabled
    • transparency.url

#Конфигурация TaskRun

Объяснение

• slsa/v1 является псевдонимом in-toto для обратной совместимости.
• Если хранилище — oci, аттестации будут храниться рядом с самим OCI артефактом. Дополнительную информацию смотрите в документации cosign.
• Если хранилище — tekton, аттестации будут храниться в аннотациях Tekton TaskRun.

#Конфигурация PipelineRun

Аналогично TaskRuns, вы можете настроить подпись и хранение PipelineRun.

• Если хранилище — oci, аттестации будут храниться рядом с самим OCI артефактом. Дополнительную информацию смотрите в документации cosign.
• Если хранилище — tekton, аттестации будут храниться в аннотациях Tekton PipelineRun.

#Конфигурация OCI

• Если хранилище — oci, аттестации будут храниться рядом с самим OCI артефактом. Дополнительную информацию смотрите в документации cosign.
• Если хранилище — tekton, аттестации будут храниться в аннотациях Tekton TaskRun или PipelineRun.

#Конфигурация хранилища

Chains поддерживает несколько бэкендов хранения для аттестаций и подписей. Некоторые из наиболее распространённых перечислены ниже, для более подробной настройки смотрите Storage Configuration

Объяснение

• Если ваш OCI репозиторий использует самоподписанный сертификат, необходимо установить storage.oci.repository.insecure в true, чтобы разрешить небезопасное соединение.

#Конфигурация функций Sigstore

#Transparency Log

Примечание: Если transparency.enabled установлен в manual, то в журнал прозрачности будут загружаться только TaskRuns и PipelineRuns с следующей аннотацией:

chains.tekton.dev/transparency-upload: "true"

#Подпись без ключей с Fulcio

#References

• Tekton Chains Configuration
• Additional fields as options