#介绍

#Tekton Chains 介绍

Tekton Chains 是一个 Kubernetes 自定义资源定义（CRD）控制器，可为 Tekton pipelines 提供软件供应链安全功能。它通过观察 TaskRun 和 PipelineRun 的执行、捕获相关信息，并将其以加密签名的格式存储来实现这一点。这样可以为所有 pipeline 活动提供安全且可验证的记录，确保软件供应链的完整性。

Tekton Chains 构建于 Tekton Pipelines 之上，通过安全功能扩展 CI/CD 能力，使组织能够根据 SLSA（软件制品供应链级别）等行业标准实施软件供应链安全实践。

#Tekton Chains 的优势

Tekton Chains 的核心优势如下：

• 安全的软件供应链

  Tekton Chains 为 CI/CD pipeline 中生成的所有制品提供加密验证，确保软件从构建到部署的过程中未被篡改。

• 符合 SLSA 标准

  支持多种 SLSA 来源证明格式，帮助组织满足软件供应链安全行业标准，并实现更高水平的 SLSA 合规性。

• 无缝集成

  可原生配合 Tekton Pipelines 使用，只需对现有 CI/CD 工作流进行最少的配置更改，即可添加强大的安全功能。

• 灵活的存储选项

  支持包括 Tekton、OCI registry、GCS 等在内的多种存储后端，允许你将签名和证明存储在最适合组织需求的位置。

• 多种签名方法

  支持包括 x509、Cosign 和 KMS 系统（GCP KMS、Hashicorp Vault、AWS KMS、Azure KMS）在内的多种签名机制，为保护软件供应链提供灵活性。

#场景

Tekton Chains 的主要应用场景如下：

• 安全的 CI/CD pipeline

  组织可以使用 Tekton Chains 为现有 CI/CD pipeline 添加加密验证，确保生成的所有制品都经过签名且可验证。

• 合规要求

  对于需要满足软件供应链安全相关监管或行业合规要求的组织，Tekton Chains 提供必要的证明和验证。

• 容器镜像签名

  自动为 Tekton pipeline 中构建的容器镜像签名，确保只有经过验证的镜像才能部署到生产环境。

• 来源证明生成

  为 pipeline 中构建的所有制品生成并签署 SLSA 来源证明，提供每个制品创建过程的可验证记录。

• 透明度日志记录

  将签名的证明存储在 Rekor 等透明度日志中，从而支持第三方验证软件供应链。

#限制

• Tekton Chains 需要妥善管理用于签署制品的密钥。供应链的安全性取决于签名密钥的安全性。

• 某些功能可能需要对 OCI registry 或 KMS 系统等外部服务进行额外配置。

• Tekton Chains 会在 TaskRuns 和 PipelineRuns 完成后观察它们，因此 pipeline 完成与证明可用之间可能会有轻微延迟。

• Tekton Chains 只生成 Attestation，但不会验证 Attestation。

  • 你需要使用其他工具验证 Attestation。例如，可以使用以下工具：
    • Cosign
    • Kyverno
    • Rekor