#链配置

#概述

Tekton Chains 是一个 Kubernetes 自定义资源定义（CRD）控制器，允许您管理 Tekton 中的供应链安全。本文档介绍如何配置 Tekton Chains。

#配置

Chains 的配置存储在 tekton-pipelines 或 tekton-chains 命名空间中的名为 chains-config 的 ConfigMap 中。您可以修改此 ConfigMap 来更改 Chains 的行为。

默认情况下，Tekton Chains 通过 TektonConfig 资源自动部署。您可以修改 TektonConfig 资源来配置 Chains。

本质上，Tekton Operator 会将 Chains 的配置从 TektonConfig 资源同步到 TektonChains 资源，最终反映在 chains-config ConfigMap 中。

下面是配置 Chains 的不同方式的简单示例。

#在 chains-config ConfigMap 中配置

以下是 chains-config ConfigMap 的示例：

apiVersion: v1
data:
  artifacts.oci.format: simplesigning
  artifacts.oci.storage: oci
  artifacts.pipelinerun.format: in-toto
  artifacts.pipelinerun.storage: oci
  artifacts.taskrun.format: in-toto
  artifacts.taskrun.storage: oci
  transparency.enabled: "false"
kind: ConfigMap
metadata:
  name: chains-config

提示： 布尔值是字符串形式，如 "true" 或 "false"。

YAML 字段说明：

• artifacts.oci.format：证明的格式。
• artifacts.oci.storage：证明的存储后端。
• artifacts.pipelinerun.format：PipelineRun 证明的格式。
• artifacts.pipelinerun.storage：PipelineRun 证明的存储后端。
• artifacts.taskrun.format：TaskRun 证明的格式。
• artifacts.taskrun.storage：TaskRun 证明的存储后端。

#在 TektonConfig 中配置

在 TektonConfig 资源中，Chains 的配置大致如下：

apiVersion: operator.tekton.dev/v1alpha1
kind: TektonConfig
metadata:
  name: config
spec:
  chain:
    disabled: false
    generateSigningSecret: false
    controllerEnvs:
      - name: SIGSTORE_ID_TOKEN
        value: "<your-id-token>"

    artifacts.oci.format: simplesigning
    artifacts.oci.storage: oci
    artifacts.pipelinerun.format: in-toto
    artifacts.pipelinerun.storage: oci
    artifacts.taskrun.format: in-toto
    artifacts.taskrun.storage: oci

    signers.x509.fulcio.enabled: <false>
    signers.x509.fulcio.address: <ttps://fulcio.sigstore.dev>
    signers.x509.fulcio.issuer: <https://oauth2.sigstore.dev/auth>
    transparency.enabled: <false>
    transparency.url: <https://rekor.sigstore.dev>

    storage.oci.repository.insecure: true

    options:
      deployments:
        tekton-chains-controller:
          spec:
            template:
              spec:
                containers:
                - name: tekton-chains-controller
                  env:
                    - name: SIGSTORE_ID_TOKEN
                      value: "<your-id-token>"
                  resources: {}

提示： 布尔值为原始类型，如 true 或 false。

YAML 字段说明：

• spec.chain：此部分包含 Chains 的配置。
  • disabled：是否禁用 Chains。
    • 此配置仅存在于 TektonConfig 中，TektonChains 中不存在。
  • generateSigningSecret：是否生成签名密钥。
    • 此配置仅存在于 TektonConfig 中，TektonChains 中不存在。
  • controllerEnvs：Tekton Chains 控制器的环境变量。
    • 此配置仅存在于 TektonConfig 中，TektonChains 中不存在。
    • name：环境变量名称。
    • value：环境变量值。
  • options：Tekton Chains 控制器的选项。
    • 此配置仅存在于 TektonConfig 中，TektonChains 中不存在。
    • deployments.tekton-chains-controller：Tekton Chains 控制器的部署选项。
      • spec.template.spec.containers.env.SIGSTORE_ID_TOKEN：Tekton Chains 控制器的 ID 令牌。
    • 更多详细支持请参见 Additional fields as options
  • 以下配置也存在于 TektonChains 中，最终会同步到 chains-config ConfigMap。
    • artifacts.oci.format
    • artifacts.oci.storage
    • artifacts.pipelinerun.format
    • artifacts.pipelinerun.storage
    • artifacts.taskrun.format
    • artifacts.taskrun.storage
    • storage.oci.repository.insecure
    • signers.x509.fulcio.address
    • signers.x509.fulcio.issuer
    • transparency.enabled
    • transparency.url

#TaskRun 配置

说明

• slsa/v1 是 in-toto 的别名，用于向后兼容。
• 如果存储为 oci，证明将与存储的 OCI 工件一起存储。更多信息请参见 cosign documentation。
• 如果存储为 tekton，证明将存储在 Tekton TaskRun 的注解中。

#PipelineRun 配置

与 TaskRun 类似，您可以配置 PipelineRun 的签名和存储。

• 如果存储为 oci，证明将与存储的 OCI 工件一起存储。更多信息请参见 cosign documentation。
• 如果存储为 tekton，证明将存储在 Tekton PipelineRun 的注解中。

#OCI 配置

• 如果存储为 oci，证明将与存储的 OCI 工件一起存储。更多信息请参见 cosign documentation。
• 如果存储为 tekton，证明将存储在 Tekton TaskRun 或 PipelineRun 的注解中。

#存储配置

Chains 支持多种存储后端来存储证明和签名。以下列出了一些常见的存储后端，更多详细配置请参见 Storage Configuration

说明

• 如果您的 OCI 仓库使用自签名证书，您需要将 storage.oci.repository.insecure 设置为 true，以允许不安全连接。

#Sigstore 功能配置

#透明日志

注意： 如果 transparency.enabled 设置为 manual，则只有带有以下注解的 TaskRun 和 PipelineRun 会上传到透明日志：

chains.tekton.dev/transparency-upload: "true"

#使用 Fulcio 的无密钥签名

#参考资料

• Tekton Chains Configuration
• Additional fields as options