Подпись и проверка Docker-образов Yandex Container Registry в Yandex Managed Service for Kubernetes

В этом сценарии описано, как подписать Docker-образы с помощью Cosign в Yandex Container Registry, а затем настроить проверку подписей в Yandex Managed Service for Kubernetes с помощью ключей Yandex Key Management Service.

Чтобы подписать и настроить проверку Docker-образов:

1. Подпишите Docker-образ с помощью Cosign.
2. Создайте политику для проверки подписей.
3. Проверьте результат.

Если созданные ресурсы вам больше не нужны, удалите их.

Необходимые платные ресурсыНеобходимые платные ресурсы

В стоимость поддержки описываемого решения входят:

• Плата за кластер Managed Service for Kubernetes: использование мастера и исходящий трафик (см. тарифы Managed Service for Kubernetes).
• Плата за узлы кластера (ВМ): использование вычислительных ресурсов, операционной системы и хранилища (см. тарифы Compute Cloud).
• Плата за публичные IP-адреса, если они назначены узлам кластера (см. тарифы Virtual Private Cloud).
• Плата за использование хранилища Container Registry.

Перед началом работыПеред началом работы

Подготовьте инфраструктуруПодготовьте инфраструктуру

Подготовьтесь к работе с кластером Managed Service for KubernetesПодготовьтесь к работе с кластером Managed Service for Kubernetes

1. Установите kubectl и настройте его на работу с созданным кластером.

2. Установите менеджер пакетов Kubernetes Helm.

Добавьте несколько Docker-образов в реестр Container RegistryДобавьте несколько Docker-образов в реестр Container Registry

1. Настройте Docker и аутентифицируйтесь в Container Registry.
2. Создайте несколько Docker-образов. Один из образов в дальнейшем будет подписан с помощью Cosign, остальные образы будут неподписанными.
3. Загрузите Docker-образы в реестр Container Registry.

Подпишите Docker-образ с помощью утилиты CosignПодпишите Docker-образ с помощью утилиты Cosign

Создайте политику для проверки подписейСоздайте политику для проверки подписей

1. Создайте авторизованный ключ для сервисного аккаунта с ролью container-registry.images.puller и запишите его в файл:

   yc iam key create \
     --service-account-name=<имя_сервисного_аккаунта> \
     --output authorized-key.json
   

   Где --service-account-name — имя сервисного аккаунта с ролью container-registry.images.puller.

2. Установите приложение Kyverno в кластер Managed Service for Kubernetes. Оно необходимо для создания политики, которой проверяются подписи Docker-образов.

   1. Добавьте репозиторий kyverno:

      helm repo add kyverno https://kyverno.github.io/kyverno/
      

      Результат:

      "kyverno" has been added to your repositories
      

   2. Установите приложение Kyverno в пространство имен kyverno:

      helm install kyverno kyverno/kyverno \
        --namespace kyverno \
        --create-namespace \
        --set replicaCount=1 \
        --set imagePullSecrets.regcred.registry=cr.yandex \
        --set imagePullSecrets.regcred.username=json_key \
        --set-file imagePullSecrets.regcred.password=./authorized-key.json
      

      Результат:

      NAME: kyverno
      LAST DEPLOYED: Thu Sep 8 10:43:00 2022
      NAMESPACE: kyverno
      STATUS: deployed
      ...
      

3. Создайте политику:

   1. Сохраните спецификацию для создания объекта ClusterPolicy в YAML-файл с названием policy.yaml:

      apiVersion: kyverno.io/v1
      kind: ClusterPolicy
      metadata:
        name: check-image
      spec:
        validationFailureAction: enforce
        background: false
        webhookTimeoutSeconds: 30
        failurePolicy: Fail
        rules:
          - name: check-image
            match:
              any:
              - resources:
                  kinds:
                    - Pod
            verifyImages:
            - imageReferences:
              - "cr.yandex/<идентификатор_реестра>/*"
              attestors:
              - count: 1
                entries:
                - keys:
                    publicKeys: |-
                      <содержимое_cosign.pub>
      

      Пример заполненного файла policy.yaml.

      apiVersion: kyverno.io/v1
      kind: ClusterPolicy
      metadata:
        name: check-image
      spec:
        validationFailureAction: enforce
        background: false
        webhookTimeoutSeconds: 30
        failurePolicy: Fail
        rules:
          - name: check-image
            match:
              any:
              - resources:
                  kinds:
                    - Pod
            verifyImages:
            - imageReferences:
              - "cr.yandex/crpd2f2bnrlb********/*"
              attestors:
              - count: 1
                entries:
                - keys:
                    publicKeys: |-
                      -----BEGIN PUBLIC KEY-----
                      MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAE1jTu/9rJZZvUFi4bGhlvgMQdIY97
                      7NuGl2zzpV7olAyIu/WiywxI7Fny5tk6JmNPIFvSAtys3c08gfEc********
                      -----END PUBLIC KEY-----
      

      Примечание

      По умолчанию при создании политики выполняется запрос проверки подписи в хранилище неизменяемых записей Transparency Log. Вы можете отключить его — для этого добавьте в элемент keys спецификации политики параметр rekor: ignoreTlog: true. Подробнее см. в документации Kyverno.

   2. Выполните команду:

      kubectl apply -f ./policy.yaml
      

      Результат:

      clusterpolicy.kyverno.io/check-image configured
      

4. (Опционально) Установите Policy Reporter в кластер Managed Service for Kubernetes, чтобы получить возможность сохранять и обрабатывать результаты срабатывания политики.

Проверьте результатПроверьте результат

• Создайте под из подписанного Docker-образа:

  kubectl run pod --image=cr.yandex/<идентификатор_реестра>/<имя_Docker-образа>:<тег>
  

  Результат:

  pod/pod created
  

• Создайте под из неподписанного Docker-образа:

  kubectl run pod2 --image=cr.yandex/<идентификатор_реестра>/<имя_неподписанного_Docker-образа>:<тег>
  

  Результат:

  Error from server: admission webhook "mutate.kyverno.svc-fail" denied the request:
  
  resource Pod/default/pod2 was blocked due to the following policies
  
  check-image:
    check-image: 
      failed to verify signature for cr.yandex/crpsere9njsa********/alpine:2.0: .attestors[0].entries[0].keys: no matching signatures:
  

Удалите созданные ресурсыУдалите созданные ресурсы

Некоторые ресурсы платные. Чтобы за них не списывалась плата, удалите ресурсы, которые вы больше не будете использовать: