Container Service for Kubernetes：使用Notation和Ratify進行OCI製品的加簽和驗簽

1、在ACR中準備鏡像

1. 使用企業版執行個體構建鏡像或在本地構建和推送多架構鏡像到Container Registry。

   說明

   ACR企業版執行個體支援OCI v1.1.0版本的鏡像和分發規範，可使用ORAS等用戶端工具管理和分發非容器鏡像內容的OCI製品，請參見使用OCI v1.1.0規範管理和關聯容器鏡像及其衍生製品。

2. 配置專用網路或公網的存取控制，用於串連企業版執行個體。請參見網路存取控制。

3. 擷取登入ACR企業版執行個體的密碼。若您忘記或遺失密碼，您可以通過配置訪問憑證的方式重設密碼。具體操作，請參見配置訪問憑證。

2、使用Notation基於KMS中管理的密鑰為ACR鏡像簽名

您可以使用notation-alibabacloud-secret-manager外掛程式基於KMS憑據管家中的私密金鑰和認證，對ACR中的指定鏡像加簽。

通過notation-alibabacloud-secret-manager外掛程式使用KMS執行個體SDK（Go），您需要滿足以下條件並自訂環境變數。

1. 使用以下命令登入鏡像倉庫。

   ./notation login --username=tsh_ram@11380257155*** test-for-doc-registry.cn-hangzhou.cr.aliyuncs.com

2. 使用以下命令對指定鏡像加簽並產生認證。<dirPath>產生認證的存放路徑如（/root）

   ./notation sign  --id <keyId> --plugin alibabacloud.secretmanager.plugin test-for-doc-registry.cn-hangzhou.cr.aliyuncs.com/test/nginx:2.11 --plugin-config output_cert_dir=<dirPath>

   預期輸出：

   Successfully signed test-for-doc-registry.cn-hangzhou.cr.aliyuncs.com/test/nginx@sha256:f57e1908e63538ad5159fa99443d0492d23b9d34ba7******

3. 您可以通過以下Notation CLI進行製品簽名。

   notation sign --id <keyId> --plugin alibabacloud.secretmanager.plugin  <myRegistry>/<myRepo>@<digest> --plugin-config output_cert_dir=<dirPath>

   參數	說明
   id	指定的阿里雲KMS執行個體ID。
   plugin-config	外掛程式自訂參數。支援如下配置： output_cert_dir：簽名時，使用該參數基於指定的KMS密鑰簽發對應的X.509驗簽認證，並以檔案形式輸出到參數指定檔案目錄下。 ca_certs：使用自簽並匯入KMS執行個體的密鑰加簽時，如果您同時使用密鑰簽發了X.509認證，可以使用該參數指定自簽認證對應的檔案路徑。

1、安裝Ratify和Gatekeeper

1. 開啟基於Gatekeeper的策略治理，請參見啟用安全性原則管理。

2. 安裝Ratify。

   1. 建立命名空間Ratify。

      kubectl create ns ratify

   2. 登入Container Service管理主控台，在左側導覽列選擇叢集列表。

   3. 在叢集列表頁面，單擊目的地組群名稱，然後在左側導覽列，選擇應用 > Helm。

   4. 在Helm頁面，單擊建立，參考如下資訊完成基本資料配置，然後選中ratify，單擊下一步。

      參數	樣本值
      應用程式名稱	ratify
      命名空間	選擇ratify。
      來源	預設為應用市場。
      Chart	應用情境：選擇全部。 支援架構：選擇amd64。 搜尋方塊：搜尋ratify。

   5. 在參數配置頁面，選擇Chart 版本，如需通過RRSA拉取鏡像，請參考配置樣本修改。然後單擊確定。

      參數	說明	預設值	配置樣本
      ServiceAccount.create	建立Ratify的專屬ServiceAccount。取值： true（預設值）：會自動建立名為ratify-admin的ServiceAccount。 false：不會自動建立，如需使用RRSA拉取鏡像，則需要提前建立ServiceAccount。	true	保持預設
      ServiceAccount.name	Ratify Service Account的自訂名稱。	ratify-admin	保持預設
      ServiceAccount.annotations	自訂ServiceAccount的Annotations。	{}	為其添加Annotation pod-identity.alibabacloud.com/role-name: <Your-RRSA-role>配置以實現自動注入功能。 說明 其中<Your-RRSA-role>替換為您使用的RRSA角色。
      oras.authProviders.k8secretsEnabled	開啟Kubernetes Secrets Provider用於和鏡像倉庫認證。	false	保持預設 說明 關於ORAS相關配置請參見ORAS Store配置樣本。
      oras.authProviders.alibabacloudAcrBasicEnabled	開啟阿里雲ACR Provider用於ACR鏡像倉庫執行個體的RRSA認證。	false	true
      oras.cache.enabled	為ListReferrers和 GetSubjectDescriptor啟用ORAS儲存緩衝。 重要 啟用後，基於TTL的緩衝可能會導致緩衝與資料來源之間不一致，如果需要強一致性，請禁用此參數。	true	保持預設
      oras.cache.ttl	設定ORAS Store中緩衝TTL。	10	保持預設
      alibabacloudAcrConfig.defaultInstanceId	目標製品在ACR倉庫中的預設執行個體ID。	``	必選項。 需要配置已建立的ACR企業版倉庫執行個體ID。
      alibabacloudAcrConfig.acrInstancesConfig	當您需要從不同的阿里雲ACR倉庫執行個體中拉取鏡像時，不同的執行個體名稱instanceName和instanceId需要分別定義在列表中。	[]	需設定為如下內容，用於串連阿里雲ACR私人倉庫。
      upgradeCRDs.enabled	開啟或關閉 Ratify CRD升級pre-install chart hooks外掛程式。	true	如果不需要升級Ratify CRD的情況下，可以設定為false。 說明 設定為true時會觸發pre-install hook，可能導致安裝逾時。
      featureFlags.RATIFY_CERT_ROTATION	開啟或關閉TLS認證輪轉，通過該配置可以使Ratify自動產生並輪轉認證。	false	需設定為true，使Ratify後端自動產生並輪轉認證。
      notationCert	已棄用。 請改用 notationCerts指定Notation的驗證認證隊列。指定的認證和憑證鏈結公開金鑰用於建立Notation驗證器使用的內建certstore。	無	保持預設
      notationCerts	用於配置Notation驗證器中內建certstore的密鑰憑證和憑證鏈結隊列。	``	需要按需填寫Notation外掛程式加簽過程中返回的KMS驗簽認證，例如：

3. 在左側導覽列選擇安全管理 > 策略管理，單擊我的策略，查看RatifyVerification策略已存在。

2、配置RRSA以拉取ACR私人鏡像簽名資訊

Ratify支援通過RRSA方式拉取阿里雲ACR私人倉庫的簽名資料。更多資訊，請參見通過RRSA配置ServiceAccount的RAM許可權實現Pod許可權隔離。

1. 在指定叢集的組件管理頁面，安裝ack-pod-identity-webhook組件。

2. 建立指定RAM角色ratify-role，配置其可信實體類型為身份供應商，並完成相關限制條件欄位的配置，您也可以使用ack-ram-toolCLI工具完成自動化配置。

   其中oidc:sub值中的<namespace>和<service_account>需使用安裝ratify組件的命名空間和ServiceAccount。

   {
     "Action": "sts:AssumeRole",
     "Condition": {
       "StringEquals": {
         "oidc:aud": "sts.aliyuncs.com",
         "oidc:iss": "<oidc_issuer_url>",
         "oidc:sub": "system:serviceaccount:<namespace>:<service_account>"
       }
     },
     "Effect": "Allow",
     "Principal": {
       "Federated": [
         "<oidc_provider_arn>"
       ]
     }
   }

3. 為上述RAM角色ratify-role授予ACR的許可權AliyunContainerRegistryFullAccess。

4. 在部署Ratify時建立ServiceAccount，同時給該ServiceAccount和對應部署Ratify的命名空間設定如下所示的Annotation。部署Ratify後，可以看到Ratify的Pod執行個體模板中的Env是被注入了指定的ALIBABA_CLOUD_ROLE_ARN、ALIBABA_CLOUD_OIDC_PROVIDER_ARN和ALIBABA_CLOUD_OIDC_TOKEN_FILE的環境變數。

   說明

   如果您已提前建立ServiceAccount，請為其添加Annotationpod-identity.alibabacloud.com/role-name: ratify-role。

   ---
   apiVersion: v1
   kind: Namespace
   metadata:
     name: ratify  # 指定Namespace的名稱。
     labels:
       pod-identity.alibabacloud.com/injection: 'on'
   
   ---
   apiVersion: v1
   kind: ServiceAccount
   metadata:
     name: ratify-admin    # 指定ServiceAccount的名稱。
     namespace: ratify     # 指定Namespace的名稱。
     annotations:
       pod-identity.alibabacloud.com/role-name: ratify-role #以上建立的RAM角色名稱
   
   ---

Notation Verifier配置樣本

您可以在Verifier校正器中定義名稱name 和 artifactType 欄位指定製品類型。Verifier校正器支援叢集或命名空間兩種維度（使用NamespacedVerifier類型）的定義，更多Verifier資訊，請參見Ratify官方文檔。

使用預設配置安裝Ratify組件後，叢集會自動建立如下的Notation Verifier執行個體， 您可以根據實際使用需求配置具體的trustPolicyDoc策略。配置樣本如下：

apiVersion: config.ratify.deislabs.io/v1beta1
kind: Verifier
metadata:
  name: verifier-notation
spec:
  artifactTypes: application/vnd.cncf.notary.signature
  name: notation
  parameters:
    trustPolicyDoc:
      trustPolicies:
      - name: default
        registryScopes:
        - '*'
        signatureVerification:
          level: strict
        trustStores:
        - ca:certs
        trustedIdentities:
        - '*'
      version: "1.0"
    verificationCertStores:
      certs:
      - ratify-notation-inline-cert
  version: 1.0.0
status:
  issuccess: true

KMP配置樣本

您可以根據不同的驗簽需求自訂對應的KeyManagementProvider執行個體，並在CR中定義公開金鑰或X.509認證。Notation和Cosign等驗證器會在簽名驗證過程中關聯對應的KMP執行個體資源。KMP支援叢集或命名空間兩種維度定義，更多KMP資訊，請參見Ratify官方文檔。配置樣本如下：

apiVersion: config.ratify.deislabs.io/v1beta1
kind: KeyManagementProvider
metadata:
  name: ratify-notation-inline-cert
spec:
  parameters:
    contentType: certificate
    value: |
      -----BEGIN CERTIFICATE-----
      XXXXXX
      XXXXXX
      XXXXXX
      -----END CERTIFICATE-----
  type: inline

ORAS Store配置樣本

您可以在安裝Ratify組件後，在預設建立的ORAS Store執行個體中進行authProvider配置，用於串連阿里雲ACR私人倉庫。配置樣本如下：

apiVersion: config.ratify.deislabs.io/v1beta1
kind: Store
metadata:
  name: store-oras
spec:
  name: oras
  parameters:
    authProvider:
      acrInstancesConfig:
      - instanceName: name1
        instanceId: cri-aaaaaaaaaaaa
      - instanceName: name2
        instanceId: cri-bbbbbbbbbbbb
      defaultInstanceId: cri-ccccccccc
      name: alibabacloudAcrBasic