#Конфигурация Chains

#Обзор

Tekton Chains — это контроллер Kubernetes Custom Resource Definition (CRD), который позволяет управлять безопасностью вашей цепочки поставок в Tekton. В этом документе описывается, как настроить Tekton Chains.

#Конфигурация

Конфигурация Chains хранится в ConfigMap с именем chains-config в пространстве имён tekton-pipelines или tekton-chains. Вы можете изменить этот ConfigMap, чтобы изменить поведение Chains.

По умолчанию Tekton Chains разворачивается автоматически через ресурс TektonConfig. Вы можете изменить ресурс TektonConfig для настройки Chains.

По сути, Tekton Operator синхронизирует конфигурацию Chains из ресурса TektonConfig в ресурс TektonChains, а затем отражает её в ConfigMap chains-config.

Ниже приведена простая демонстрация различных способов настройки Chains.

#Конфигурация в ConfigMap chains-config

Пример ConfigMap chains-config:

apiVersion: v1
data:
  artifacts.oci.format: simplesigning
  artifacts.oci.storage: oci
  artifacts.pipelinerun.format: in-toto
  artifacts.pipelinerun.storage: oci
  artifacts.taskrun.format: in-toto
  artifacts.taskrun.storage: oci
  transparency.enabled: "false"
kind: ConfigMap
metadata:
  name: chains-config

#Конфигурация в TektonConfig

В ресурсе TektonConfig конфигурация Chains примерно следующая:

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
  name: config
spec:
  chain:
    disabled: false
    generateSigningSecret: false
    controllerEnvs:
      - name: SIGSTORE_ID_TOKEN
        value: "<your-id-token>"

    artifacts.oci.format: simplesigning
    artifacts.oci.storage: oci
    artifacts.pipelinerun.format: in-toto
    artifacts.pipelinerun.storage: oci
    artifacts.taskrun.format: in-toto
    artifacts.taskrun.storage: oci

    signers.x509.fulcio.enabled: <false>
    signers.x509.fulcio.address: <ttps://fulcio.sigstore.dev>
    signers.x509.fulcio.issuer: <https://oauth2.sigstore.dev/auth>
    transparency.enabled: <false>
    transparency.url: <https://rekor.sigstore.dev>

    storage.oci.repository.insecure: true

    options:
      deployments:
        tekton-chains-controller:
          spec:
            template:
              spec:
                containers:
                - name: tekton-chains-controller
                  env:
                    - name: SIGSTORE_ID_TOKEN
                      value: "<your-id-token>"
                  resources: {}

#Конфигурация TaskRun

Объяснение

• slsa/v1 является псевдонимом in-toto для обратной совместимости.
• Если хранилище — oci, аттестации будут храниться рядом с самим OCI артефактом. Дополнительную информацию см. в документации cosign.
• Если хранилище — tekton, аттестации будут храниться в аннотациях Tekton TaskRun.

#Конфигурация PipelineRun

Аналогично TaskRun, можно настроить подпись и хранение PipelineRun.

• Если хранилище — oci, аттестации будут храниться рядом с самим OCI артефактом. Дополнительную информацию см. в документации cosign.
• Если хранилище — tekton, аттестации будут храниться в аннотациях Tekton PipelineRun.

#Конфигурация OCI

• Если хранилище — oci, аттестации будут храниться рядом с самим OCI артефактом. Дополнительную информацию см. в документации cosign.
• Если хранилище — tekton, аттестации будут храниться в аннотациях Tekton TaskRun или PipelineRun.

#Конфигурация хранилища

Chains поддерживает несколько бэкендов хранения для аттестаций и подписей. Ниже перечислены некоторые из наиболее распространённых, для более подробной настройки смотрите Storage Configuration

Объяснение

• Если ваш OCI репозиторий использует самоподписанный сертификат, необходимо установить storage.oci.repository.insecure в true, чтобы разрешить небезопасное соединение.

#Конфигурация функций Sigstore

#Transparency Log

Примечание: Если transparency.enabled установлен в manual, тогда в журнал прозрачности будут загружаться только TaskRuns и PipelineRuns с аннотацией:

chains.tekton.dev/transparency-upload: "true"

#Подпись без ключа с Fulcio

#Ссылки

• Tekton Chains Configuration
• Additional fields as options