#Конфигурация Chains

#Обзор

Tekton Chains — это контроллер Kubernetes Custom Resource Definition (CRD), который позволяет управлять безопасностью вашей цепочки поставки в Tekton. В этом документе описано, как настраивать Tekton Chains.

#Конфигурация

Конфигурация Chains хранится в ConfigMap с именем chains-config в пространстве имен tekton-pipelines или tekton-chains. Вы можете изменить этот ConfigMap, чтобы изменить поведение Chains.

По умолчанию Tekton Chains автоматически развертывается через ресурс TektonConfig. Вы можете изменить ресурс TektonConfig, чтобы настроить Chains.

По сути, Tekton Operator синхронизирует конфигурацию Chains из ресурса TektonConfig в ресурс TektonChains, а затем отражает ее в ConfigMap chains-config.

Ниже приведена простая демонстрация различных способов настройки Chains.

#Конфигурация в ConfigMap chains-config

Ниже приведен пример ConfigMap chains-config:

apiVersion: v1
data:
  artifacts.oci.format: simplesigning
  artifacts.oci.storage: oci
  artifacts.pipelinerun.format: in-toto
  artifacts.pipelinerun.storage: oci
  artifacts.taskrun.format: in-toto
  artifacts.taskrun.storage: oci
  transparency.enabled: "false"
kind: ConfigMap
metadata:
  name: chains-config

Совет: Булевы значения представлены строками, например "true" или "false".

Пояснение полей YAML:

• artifacts.oci.format: Формат аттестаций.
• artifacts.oci.storage: Бэкенд хранилища для аттестаций.
• artifacts.pipelinerun.format: Формат аттестаций для PipelineRuns.
• artifacts.pipelinerun.storage: Бэкенд хранилища для аттестаций PipelineRuns.
• artifacts.taskrun.format: Формат аттестаций для TaskRuns.
• artifacts.taskrun.storage: Бэкенд хранилища для аттестаций TaskRuns.

#Конфигурация в TektonConfig

В ресурсе TektonConfig конфигурация Chains выглядит примерно так:

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
  name: config
spec:
  chain:
    disabled: false
    generateSigningSecret: false
    controllerEnvs:
      - name: SIGSTORE_ID_TOKEN
        value: "<your-id-token>"

    artifacts.oci.format: simplesigning
    artifacts.oci.storage: oci
    artifacts.pipelinerun.format: in-toto
    artifacts.pipelinerun.storage: oci
    artifacts.taskrun.format: in-toto
    artifacts.taskrun.storage: oci

    signers.x509.fulcio.enabled: <false>
    signers.x509.fulcio.address: <ttps://fulcio.sigstore.dev>
    signers.x509.fulcio.issuer: <https://oauth2.sigstore.dev/auth>
    transparency.enabled: <false>
    transparency.url: <https://rekor.sigstore.dev>

    storage.oci.repository.insecure: true

    options:
      deployments:
        tekton-chains-controller:
          spec:
            template:
              spec:
                containers:
                - name: tekton-chains-controller
                  env:
                    - name: SIGSTORE_ID_TOKEN
                      value: "<your-id-token>"
                  resources: {}

Совет: Булевые значения имеют исходный тип, например true или false.

Пояснение полей YAML:

• spec.chain: Этот раздел содержит конфигурацию Chains.
  • disabled: Нужно ли отключить Chains.
    • Эта конфигурация уникальна для TektonConfig и не существует в TektonChains.
  • generateSigningSecret: Нужно ли генерировать signing secret.
    • Эта конфигурация уникальна для TektonConfig и не существует в TektonChains.
  • controllerEnvs: Переменные окружения для контроллера Tekton Chains.
    • Эта конфигурация уникальна для TektonConfig и не существует в TektonChains.
    • name: Имя переменной окружения.
    • value: Значение переменной окружения.
  • options: Параметры для контроллера Tekton Chains.
    • Эта конфигурация уникальна для TektonConfig и не существует в TektonChains.
    • deployments.tekton-chains-controller: Параметры развертывания для контроллера Tekton Chains.
      • spec.template.spec.containers.env.SIGSTORE_ID_TOKEN: ID token для контроллера Tekton Chains.
    • Более подробную информацию можно найти в Additional fields as options
  • Следующие конфигурации также существуют в TektonChains и в конечном итоге будут синхронизированы с ConfigMap chains-config.
    • artifacts.oci.format
    • artifacts.oci.storage
    • artifacts.pipelinerun.format
    • artifacts.pipelinerun.storage
    • artifacts.taskrun.format
    • artifacts.taskrun.storage
    • storage.oci.repository.insecure
    • signers.x509.fulcio.address
    • signers.x509.fulcio.issuer
    • transparency.enabled
    • transparency.url

#Конфигурация TaskRun

Пояснение

• slsa/v1 — это псевдоним in-toto для обратной совместимости.
• Если хранилище — oci, аттестации будут храниться вместе с самим OCI artifact. Дополнительную информацию см. в cosign documentation.
• Если хранилище — tekton, аттестации будут храниться в annotations объекта TaskRun в Tekton.

#Конфигурация PipelineRun

Аналогично TaskRun, вы можете настроить подпись и хранение PipelineRun.

• Если хранилище — oci, аттестации будут храниться вместе с самим OCI artifact. Дополнительную информацию см. в cosign documentation.
• Если хранилище — tekton, аттестации будут храниться в annotations объекта PipelineRun в Tekton.

#Конфигурация OCI

• Если хранилище — oci, аттестации будут храниться вместе с самим OCI artifact. Дополнительную информацию см. в cosign documentation.
• Если хранилище — tekton, аттестации будут храниться в annotations объекта TaskRun или PipelineRun в Tekton.

#Конфигурация хранилища

Chains поддерживает несколько бэкендов хранилища для сохранения аттестаций и подписей. Некоторые из наиболее распространенных перечислены ниже; для более подробной конфигурации см. Storage Configuration

Пояснение

• Если в вашем OCI repository используется self-signed certificate, необходимо установить storage.oci.repository.insecure в true, чтобы разрешить небезопасное соединение.

#Конфигурация возможностей Sigstore

#Журнал прозрачности

Примечание: Если transparency.enabled установлен в manual, то только TaskRuns и PipelineRuns со следующим annotation будут загружены в журнал прозрачности:

chains.tekton.dev/transparency-upload: "true"

#Подпись без ключа с Fulcio

#Ссылки

• Tekton Chains Configuration
• Additional fields as options