О контроллере допуска Kubernetes
Аттестации артефактов позволяют создавать нефиксируемые проверки подлинности и гарантии целостности создаваемого программного обеспечения. В свою очередь, пользователи, использующие программное обеспечение, могут проверить, где и как было создано ваше программное обеспечение.
Контроллеры допуска Kubernetes — это подключаемые модули, которые управляют поведением сервера API Kubernetes. Они обычно используются для применения политик безопасности и рекомендаций в кластере Kubernetes.
С помощью проекта контроллера политики Sigstore открытый код можно добавить контроллер допуска в кластер Kubernetes, который может применять аттестации артефактов. Таким образом, можно обеспечить развертывание только артефактов с допустимыми аттестациями.
Чтобы установить контроллер, мы предлагаем две диаграммы Helm: один для развертывания контроллера политики Sigstore, а другой для загрузки корневого каталога доверия GitHub и политики по умолчанию.
Сведения о проверке изображения
Когда контроллер политики установлен, он перехватит все запросы на вытягивание образа и проверяет аттестацию для образа. Аттестация должна храниться в реестре образов в виде присоединенного артефакта OCI, содержащего пакет Sigstore, содержащий аттестацию и криптографический материал (например, сертификаты и подписи), используемые для проверки аттестации. Затем выполняется процесс проверки, который гарантирует, что образ был создан с указанным подтверждением сборки и соответствует любым политикам, включенным администратором кластера.
Чтобы образ был проверяемым, он должен иметь действительную аттестацию проверки в реестре, которая может быть выполнена путем включения push-to-registry: true атрибута в действии actions/attest . Дополнительные сведения о создании аттестаций для образов контейнеров см. в статье "Создание подтверждения сборки для образов контейнеров".