#Конфигурация Chains

#Обзор

Tekton Chains — это контроллер Custom Resource Definition (CRD) для Kubernetes, который позволяет управлять безопасностью supply chain в Tekton. В этом документе описано, как настраивать Tekton Chains.

#Конфигурация

Конфигурация Chains хранится в ConfigMap с именем chains-config в namespace tekton-pipelines или tekton-chains. Вы можете изменить этот ConfigMap, чтобы поведение Chains.

По умолчанию Tekton Chains разворачивается автоматически через ресурс TektonConfig. Вы можете изменить ресурс TektonConfig, чтобы настроить Chains.

По сути, Tekton Operator синхронизирует конфигурацию Chains из ресурса TektonConfig в ресурс TektonChains, а затем в конечном итоге отражает ее в ConfigMap chains-config.

Ниже приведена простая демонстрация различных способов настройки Chains.

#Конфигурация в ConfigMap chains-config

Ниже приведен пример ConfigMap chains-config:

apiVersion: v1
data:
  artifacts.oci.format: simplesigning
  artifacts.oci.storage: oci
  artifacts.pipelinerun.format: in-toto
  artifacts.pipelinerun.storage: oci
  artifacts.taskrun.format: in-toto
  artifacts.taskrun.storage: oci
  transparency.enabled: "false"
kind: ConfigMap
metadata:
  name: chains-config

#Конфигурация в TektonConfig

В ресурсе TektonConfig конфигурация Chains выглядит примерно следующим образом:

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
  name: config
spec:
  chain:
    disabled: false
    generateSigningSecret: false
    controllerEnvs:
      - name: SIGSTORE_ID_TOKEN
        value: "<your-id-token>"

    artifacts.oci.format: simplesigning
    artifacts.oci.storage: oci
    artifacts.pipelinerun.format: in-toto
    artifacts.pipelinerun.storage: oci
    artifacts.taskrun.format: in-toto
    artifacts.taskrun.storage: oci

    signers.x509.fulcio.enabled: <false>
    signers.x509.fulcio.address: <ttps://fulcio.sigstore.dev>
    signers.x509.fulcio.issuer: <https://oauth2.sigstore.dev/auth>
    transparency.enabled: <false>
    transparency.url: <https://rekor.sigstore.dev>

    storage.oci.repository.insecure: true

    options:
      deployments:
        tekton-chains-controller:
          spec:
            template:
              spec:
                containers:
                - name: tekton-chains-controller
                  env:
                    - name: SIGSTORE_ID_TOKEN
                      value: "<your-id-token>"
                  resources: {}

#Конфигурация TaskRun

Пояснение

• slsa/v1 — это псевдоним in-toto для обратной совместимости.
• Если хранилище — oci, аттестации будут сохраняться рядом с самим OCI-артефактом. Дополнительную информацию см. в документации cosign.
• Если хранилище — tekton, аттестации будут сохраняться в аннотациях Tekton TaskRun.

#Конфигурация PipelineRun

Аналогично TaskRuns, вы можете настроить подпись и хранение PipelineRun.

• Если хранилище — oci, аттестации будут сохраняться рядом с самим OCI-артефактом. Дополнительную информацию см. в документации cosign.
• Если хранилище — tekton, аттестации будут сохраняться в аннотациях Tekton PipelineRun.

#Конфигурация OCI

• Если хранилище — oci, аттестации будут сохраняться рядом с самим OCI-артефактом. Дополнительную информацию см. в документации cosign.
• Если хранилище — tekton, аттестации будут сохраняться в аннотациях Tekton TaskRun или PipelineRun.

#Конфигурация хранилища

Chains поддерживает несколько бэкендов хранения для сохранения аттестаций и подписей. Ниже перечислены некоторые из наиболее распространенных; для более подробной конфигурации см. Конфигурация хранилища

Пояснение

• Если в вашем OCI-репозитории используется самоподписанный сертификат, необходимо установить storage.oci.repository.insecure в true, чтобы разрешить небезопасное подключение.

#Конфигурация функций Sigstore

#Журнал прозрачности

Примечание: Если transparency.enabled установлен в manual, в журнал прозрачности будут загружаться только TaskRuns и PipelineRuns со следующей аннотацией:

chains.tekton.dev/transparency-upload: "true"

#Бесключевая подпись с Fulcio

#Ссылки

• Конфигурация Tekton Chains
• Дополнительные поля в качестве опций