#Chains 配置

#概述

Tekton Chains 是一个 Kubernetes 自定义资源定义（CRD）控制器，可用于在 Tekton 中管理供应链安全。本文档介绍如何配置 Tekton Chains。

#配置

Chains 配置存储在 tekton-pipelines 或 tekton-chains 命名空间中名为 chains-config 的 ConfigMap 里。你可以修改该 ConfigMap 来更改 Chains 的行为。

默认情况下，Tekton Chains 会通过 TektonConfig 资源自动部署。你可以修改 TektonConfig 资源来配置 Chains。

本质上，Tekton Operator 会将 Chains 配置从 TektonConfig 资源同步到 TektonChains 资源，并最终反映到 chains-config ConfigMap 中。

下面简单演示配置 Chains 的不同方式。

#在 chains-config ConfigMap 中配置

下面是 chains-config ConfigMap 的示例：

apiVersion: v1
data:
  artifacts.oci.format: simplesigning
  artifacts.oci.storage: oci
  artifacts.pipelinerun.format: in-toto
  artifacts.pipelinerun.storage: oci
  artifacts.taskrun.format: in-toto
  artifacts.taskrun.storage: oci
  transparency.enabled: "false"
kind: ConfigMap
metadata:
  name: chains-config

提示： 布尔值是字符串，例如 "true" 或 "false"。

YAML 字段说明：

• artifacts.oci.format：证明材料的格式。
• artifacts.oci.storage：证明材料的存储后端。
• artifacts.pipelinerun.format：PipelineRun 证明材料的格式。
• artifacts.pipelinerun.storage：PipelineRun 证明材料的存储后端。
• artifacts.taskrun.format：TaskRun 证明材料的格式。
• artifacts.taskrun.storage：TaskRun 证明材料的存储后端。

#在 TektonConfig 中配置

在 TektonConfig 资源中，Chains 的配置大致如下：

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
  name: config
spec:
  chain:
    disabled: false
    generateSigningSecret: false
    controllerEnvs:
      - name: SIGSTORE_ID_TOKEN
        value: "<your-id-token>"

    artifacts.oci.format: simplesigning
    artifacts.oci.storage: oci
    artifacts.pipelinerun.format: in-toto
    artifacts.pipelinerun.storage: oci
    artifacts.taskrun.format: in-toto
    artifacts.taskrun.storage: oci

    signers.x509.fulcio.enabled: <false>
    signers.x509.fulcio.address: <ttps://fulcio.sigstore.dev>
    signers.x509.fulcio.issuer: <https://oauth2.sigstore.dev/auth>
    transparency.enabled: <false>
    transparency.url: <https://rekor.sigstore.dev>

    storage.oci.repository.insecure: true

    options:
      deployments:
        tekton-chains-controller:
          spec:
            template:
              spec:
                containers:
                - name: tekton-chains-controller
                  env:
                    - name: SIGSTORE_ID_TOKEN
                      value: "<your-id-token>"
                  resources: {}

提示： 布尔值使用原始类型，例如 true 或 false。

YAML 字段说明：

• spec.chain：此部分包含 Chains 的配置。
  • disabled：是否禁用 Chains。
    • 这是 TektonConfig 独有的配置，在 TektonChains 中不存在。
  • generateSigningSecret：是否生成签名 secret。
    • 这是 TektonConfig 独有的配置，在 TektonChains 中不存在。
  • controllerEnvs：Tekton Chains controller 的环境变量。
    • 这是 TektonConfig 独有的配置，在 TektonChains 中不存在。
    • name：环境变量名称。
    • value：环境变量值。
  • options：Tekton Chains controller 的选项。
    • 这是 TektonConfig 独有的配置，在 TektonChains 中不存在。
    • deployments.tekton-chains-controller：Tekton Chains controller 的部署选项。
      • spec.template.spec.containers.env.SIGSTORE_ID_TOKEN：Tekton Chains controller 的 ID token。
    • 更详细的支持信息可以在 Additional fields as options 中找到
  • 以下配置也存在于 TektonChains 中，并最终会同步到 chains-config ConfigMap。
    • artifacts.oci.format
    • artifacts.oci.storage
    • artifacts.pipelinerun.format
    • artifacts.pipelinerun.storage
    • artifacts.taskrun.format
    • artifacts.taskrun.storage
    • storage.oci.repository.insecure
    • signers.x509.fulcio.address
    • signers.x509.fulcio.issuer
    • transparency.enabled
    • transparency.url

#TaskRun 配置

说明

• slsa/v1 是 in-toto 的别名，用于向后兼容。
• 如果存储为 oci，证明材料将与存储的 OCI artifact 本身一起存储。更多信息请参见 cosign documentation。
• 如果存储为 tekton，证明材料将存储在 Tekton TaskRun 的 annotations 中。

#PipelineRun 配置

与 TaskRun 类似，你也可以配置 PipelineRun 的签名和存储。

• 如果存储为 oci，证明材料将与存储的 OCI artifact 本身一起存储。更多信息请参见 cosign documentation。
• 如果存储为 tekton，证明材料将存储在 Tekton PipelineRun 的 annotations 中。

#OCI 配置

• 如果存储为 oci，证明材料将与存储的 OCI artifact 本身一起存储。更多信息请参见 cosign documentation。
• 如果存储为 tekton，证明材料将存储在 Tekton TaskRun 或 PipelineRun 的 annotations 中。

#存储配置

Chains 支持多种用于存储证明材料和签名的存储后端。 下面列出了一些更常见的选项；如需更详细的配置，请参见 Storage Configuration

说明

• 如果你的 OCI repository 使用自签名证书，则需要将 storage.oci.repository.insecure 设置为 true，以允许不安全连接。

#Sigstore 特性配置

#Transparency Log

注意： 如果 transparency.enabled 设置为 manual，则只有带有以下 annotation 的 TaskRun 和 PipelineRun 会上传到透明日志：

chains.tekton.dev/transparency-upload: "true"

#使用 Fulcio 的无密钥签名

#参考

• Tekton Chains Configuration
• Additional fields as options