Käyttöönoton turvallisuus

Tässä osiossa hallitaan levykuvien varmennusta ja haavoittuvuuksien pakottavaa valvontaa.

Ylläpitäjät voivat pakottaa käyttöön turvallisuuteen liittyviä ehtoja, kuten:

Vain allekirjoitettujen levykuvien salliminen

Käytettävissä on kaksi levykuvien allekirjoitusten varmennusmekanismia: cosign ja Notation. Jos ne ovat käytössä, vain allekirjoitettuja levykuvia voidaan ottaa käyttöön. Tämä varmistaa levykuvien eheyden ja aitouden.

Miten allekirjoitat levykuvasi?

Kuten aiemmin mainittiin, voit käyttää CoSignia tai Notationia levykuviesi allekirjoittamiseen sen jälkeen, kun ne on työnnetty palveluun.

Tässä on esimerkki CoSignin käytöstä:

Asenna CoSign:

Jos käytät macOS:ää:

brew install cosign

Jos käytät Linuxia, voit ladata alustallesi sopivan binääritiedoston CoSignin julkaisusivulta:

# binary
curl -O -L "https://github.com/sigstore/cosign/releases/latest/download/cosign-linux-amd64"
sudo mv cosign-linux-amd64 /usr/local/bin/cosign
sudo chmod +x /usr/local/bin/cosign

# rpm
LATEST_VERSION=$(curl https://api.github.com/repos/sigstore/cosign/releases/latest | grep tag_name | cut -d : -f2 | tr -d "v\", ")
curl -O -L "https://github.com/sigstore/cosign/releases/latest/download/cosign-${LATEST_VERSION}-1.x86_64.rpm"
sudo rpm -ivh cosign-${LATEST_VERSION}-1.x86_64.rpm

# dkpg
LATEST_VERSION=$(curl https://api.github.com/repos/sigstore/cosign/releases/latest | grep tag_name | cut -d : -f2 | tr -d "v\", ")
curl -O -L "https://github.com/sigstore/cosign/releases/latest/download/cosign_${LATEST_VERSION}_amd64.deb"
sudo dpkg -i cosign_${LATEST_VERSION}_amd64.deb

Luo itsehallinnoidut avaimet:

Luo avainpari suorittamalla komento cosign generate-key-pair. Sinua pyydetään antamaan salasana:

$ cosign generate-key-pair
Enter password for private key:
Enter again:
Private key written to cosign.key
Public key written to cosign.pub

Allekirjoittaminen itsehallinnoiduilla avaimilla:

Kun avainpari on luotu, voit allekirjoittaa Satamaan työnnetyt levykuvasi suorittamalla tämän komennon:

cosign sign --key cosign.key --new-bundle-format=false --use-signing-config=false satama.csc.fi/project/myimage@sha256:<digest> # It is better to use the digest instead of the tag

Voit vastata kysymykseen NO

Note

Sinun täytyy käyttää argumentteja --new-bundle-format ja --use-signing-config, jos käytät CoSignin uusinta versiota. Sataman nykyinen versio (Harbor v2.14.4) ei tue uutta Sigstore bundle -muotoa

Haavoittuvien levykuvien käytön estäminen

Jos 'Prevent vulnerable images from running' on käytössä, Satama estää sellaisten levykuvien käyttöönoton, jotka sisältävät valittua vakavuustasoa vakavampia tai sitä vastaavia haavoittuvuuksia.

Voit säätää vakavuuskynnystä pudotusvalikosta. Jos haavoittuvuuden vakavuustasoksi on valittu 'Low', se tarkoittaa, että jos mikä tahansa haavoittuvuus (Low, Medium, High, Critical) on olemassa, käyttöönotto voidaan estää.