Alauda DevOps Pipelines Docs
  • 简体中文

    • Signing Key Configuration

    目录

    Overview

    要在 Tekton Chains 中启用工件签名，您需要生成并配置签名密钥。本文档说明了如何为不同的签名方法生成和配置签名密钥。

    Generate Signing Key

    WARNING

    签名密钥用于生成工件的签名信息，请妥善保管。

    Using Cosign

    您可以使用 cosign 工具生成签名密钥对：

    $ COSIGN_PASSWORD={password} cosign generate-key-pair k8s://tekton-pipelines/signing-secrets

    注意：

    • 您需要安装 cosign CLI 并能够访问 Kubernetes 集群
    • COSIGN_PASSWORD 是用于加密签名密钥的密码
    • tekton-pipelines 是 Chains 组件部署的命名空间（默认是 tekton-pipelines）
    • signing-secrets 是用于存储签名密钥的 Secret 名称

    执行后，您可以查看对应的 Secret 资源：

    $ kubectl get secret signing-secrets -n tekton-pipelines -o yaml

apiVersion: v1
data:
  cosign.key: <base64-encoded-private-key>
  cosign.password: <base64-encoded-password>
  cosign.pub: <base64-encoded-public-key>
immutable: true
kind: Secret
metadata:
  name: signing-secrets
  namespace: tekton-pipelines
type: Opaque

    Get the Signing Public Key

    TIP

    如果您没有权限，可以请管理员获取公钥。

    $ export NAMESPACE=<tekton-pipelines>
$ kubectl get secret -n $NAMESPACE signing-secrets -o jsonpath='{.data.cosign\.pub}' | base64 -d > cosign.pub

    Get the Signing Secret

    $ export NAMESPACE=<tekton-pipelines>
$ kubectl get secret -n $NAMESPACE signing-secrets -o yaml > signing-secrets.yaml

    Restart Tekton Chains

    配置签名密钥后，重启 Tekton Chains 组件使其生效：

    $ kubectl delete pods -n tekton-pipelines -l app=tekton-chains-controller

    等待组件启动：

    $ kubectl get pods -n tekton-pipelines -l app=tekton-chains-controller -w

NAME                                        READY   STATUS    RESTARTS   AGE
tekton-chains-controller-55876dfbbd-5wv5z   1/1     Running   0          1m30s

    References