#入门

本指南帮助新用户快速设置 Tekton Chains，通过为 Tekton TaskRun 生成和验证加密签名来保护其 CI/CD 流水线。

#简介

#使用场景

Tekton Chains 可通过自动为构建产物生成加密签名，帮助您保护软件供应链。本指南演示如何设置 Tekton Chains、生成签名密钥、运行简单任务并验证其签名。

#预计阅读时间

10-15 分钟

#重要说明

• 使用 Alauda Container Platform Pipelines Operator 时，Tekton Chains 默认安装在 tekton-pipelines 命名空间中
• 应安全管理签名密钥；在生产环境中，请考虑使用密钥管理系统（KMS）
• 本指南使用最简单的配置进行演示

#前提条件

• 已安装 Tekton Pipelines 和 Tekton Chains 的 Kubernetes 集群
• 已安装并配置 kubectl CLI，以访问您的集群
• 已安装 cosign CLI 工具
• 已安装 jq CLI 工具

#流程概览

#分步说明

#步骤 1：生成签名密钥

有关详细信息，请参阅签名密钥配置

Tekton Chains 使用加密密钥对产物进行签名。默认情况下，它会在 Chains 命名空间中查找名为 signing-secrets 的 secret。

1. 如果尚未安装，请安装 cosign

2. 生成密钥对并将其存储为 Kubernetes secret：

   $ COSIGN_PASSWORD={password} cosign generate-key-pair k8s://tekton-pipelines/signing-secrets
   
   Successfully created secret signing-secrets in namespace tekton-pipelines
   Public key written to cosign.pub
   TIP

   此密码将存储在 tekton-pipelines 命名空间中名为 signing-secrets 的 Kubernetes secret 内。

3. 验证 secret 是否已创建：

   $ kubectl get secret signing-secrets -n tekton-pipelines
   
   NAME              TYPE     DATA   AGE
   signing-secrets   Opaque   3      3m

#步骤 2：配置 Tekton Chains

通过应用以下配置，将 Tekton Chains 配置为以 Tekton 格式存储产物：

$ kubectl patch tektonconfigs.operator.tekton.dev config --type=merge -p='{
  "spec": {
    "chain": {
      "artifacts.oci.storage": "",
      "artifacts.taskrun.format": "in-toto",
      "artifacts.taskrun.storage": "tekton"
    }
  }
}'

YAML 字段说明：

• artifacts.oci.storage：OCI 产物的存储类型。设置为空字符串可跳过存储。
• artifacts.taskrun.format：taskrun 产物的格式。设置为 in-toto 可使用 in-toto 格式。
• artifacts.taskrun.storage：taskrun 产物的存储类型。设置为 tekton 可将其存储在 Tekton TaskRun 注解中。

#步骤 3：运行示例任务

现在，让我们创建一个简单的 TaskRun，Chains 将自动对其进行签名。

1. 创建一个简单的 TaskRun：

   $ export NAMESPACE=default
   
   $ cat <<'EOF' | kubectl create -n $NAMESPACE -f -
   apiVersion: tekton.dev/v1
   kind: TaskRun
   metadata:
     name: build-push-run-output-image-test
   spec:
     serviceAccountName: ""
     taskSpec:
       results:
       - name: IMAGE_URL
         type: string
       - name: IMAGE_DIGEST
         type: string
       steps:
       - name: create-image
         image: <registry>/ops/busybox:latest
         script: |-
           #!/bin/sh
           echo 'gcr.io/foo/bar' | tee $(results.IMAGE_URL.path)
           echo 'sha256:05f95b26ed10668b7183c1e2da98610e91372fa9f510046d4ce5812addad86b5' | tee $(results.IMAGE_DIGEST.path)
   EOF
   TIP

   请将镜像 <registry>/ops/busybox:latest 替换为您要使用的实际镜像。

2. 等待 TaskRun 完成：

   $ kubectl get taskruns.tekton.dev -n $NAMESPACE -w
   
   NAME                               SUCCEEDED   REASON      STARTTIME   COMPLETIONTIME
   build-push-run-output-image-test   True        Succeeded   42s         33s

   等待状态显示为 Succeeded。

#步骤 4：验证签名

TaskRun 完成后，Tekton Chains 将自动对其进行签名。下面验证该签名。

1. 获取 TaskRun UID：

   export TASKRUN_UID=$(kubectl get taskruns.tekton.dev -n $NAMESPACE build-push-run-output-image-test -o jsonpath='{.metadata.uid}')

2. 提取签名：

   kubectl get taskruns.tekton.dev -n $NAMESPACE -o jsonpath="{.items[0].metadata.annotations.chains\.tekton\.dev/signature-taskrun-$TASKRUN_UID}" | base64 -d > sig

3. 使用 jq 提取负载：

   cat sig | jq '.payload | @base64d' | jq -r '.' | jq '.'

{
  "_type": "https://in-toto.io/Statement/v0.1",
  "subject": [
    {
      "name": "gcr.io/foo/bar",
      "digest": {
        "sha256": "05f95b26ed10668b7183c1e2da98610e91372fa9f510046d4ce5812addad86b5"
      }
    }
  ],
  "predicateType": "https://slsa.dev/provenance/v0.2",
  "predicate": {
    "buildConfig": {
      "steps": [
        {
          "annotations": null,
          "arguments": null,
          "entryPoint": "#!/bin/sh\necho 'gcr.io/foo/bar' | tee /tekton/results/IMAGE_URL\necho 'sha256:05f95b26ed10668b7183c1e2da98610e91372fa9f510046d4ce5812addad86b5' | tee /tekton/results/IMAGE_DIGEST",
          "environment": {
            "container": "create-image",
            "image": "oci://<registry>/ops/busybox@sha256:ce57c394018ade463dede7cbc721c41d7bc6bc858c62d810681ff41d00d8e942"
          }
        }
      ]
    },
    "buildType": "tekton.dev/v1beta1/TaskRun",
    "builder": {
      "id": "https://tekton.dev/chains/v2"
    },
    "invocation": {
      "configSource": {},
      "environment": {
        "annotations": {
          "cpaas.io/creator": "kubernetes-admin",
          "cpaas.io/updated-at": "2025-06-15T15:18:32Z",
          "pipeline.tekton.dev/release": "002f74eea37b0f5dbcfed39c13d7cd762c8fcdc4"
        },
        "labels": {
          "app.kubernetes.io/managed-by": "tekton-pipelines"
        }
      },
      "parameters": {}
    },
    "materials": [
      {
        "digest": {
          "sha256": "ce57c394018ade463dede7cbc721c41d7bc6bc858c62d810681ff41d00d8e942"
        },
        "uri": "oci://<registry>/ops/busybox"
      }
    ],
    "metadata": {
      "buildFinishedOn": "2025-06-15T15:18:41Z",
      "buildStartedOn": "2025-06-15T15:18:32Z",
      "completeness": {
        "environment": false,
        "materials": false,
        "parameters": false
      },
      "reproducible": false
    }
  }
}

4. 使用 cosign 验证签名：

   $ cosign verify-blob-attestation --insecure-ignore-tlog --key k8s://tekton-pipelines/signing-secrets --signature sig --type slsaprovenance --check-claims=false /dev/null
   
   WARNING: Skipping tlog verification is an insecure practice that lacks transparency and auditability verification for the blob attestation.
   Verified OK

   如果成功，您将看到 Verified OK。

#预期结果

完成本指南后：

• 您将拥有一个配置了 signing key 的可用 Tekton Chains
• 您的 TaskRuns 完成后会自动进行签名
• 您可以验证签名，以确保构建的完整性

这展示了 Tekton Chains 的基本功能。在实际场景中，您可以：

1. 配置 Chains，为容器镜像签名，并将签名存储在 registry 中
2. 在部署流程中设置验证步骤
3. 考虑使用云 KMS，以实现更安全的密钥管理

#参考

• Chains 入门教程
• Chains 配置