Crea attestazioni con la Scorecard OpenSSF

Questo tutorial illustra come utilizzare OpenSSF Scorecard per verificare le best practice relative alla sicurezza della catena di fornitura nelle immagini container. Scorecard Attestor viene eseguito all'interno della pipeline di Cloud Build per generare un'attestazione che può essere verificata da Autorizzazione binaria prima del deployment. Questo passaggio di verifica impedisce il deployment in produzione degli artefatti dei container compromessi, il che può impedire diverse classi di vulnerabilità della catena di fornitura.

Panoramica

La Open Source Security Foundation (OpenSSF) è un'organizzazione che fornisce strumenti, servizi e infrastrutture per iniziative di sicurezza open source. Scorecard è uno strumento gestito da OpenSSF che analizza i repository di gestione del codice sorgente (SCM) alla ricerca di best practice in materia di sicurezza della catena di fornitura.

Scorecard Attestor è uno strumento integrato in Scorecard che consente di creare attestazioni di Autorizzazione binaria in base a un criterio da te configurato. Scorecard Attestor esegue Scorecard sul repository SCM di un'immagine container, genera risultati, valuta i risultati in base al criterio e genera un'attestazione se il criterio è soddisfatto.

In questo tutorial creerai un repository di esempio e quindi utilizzerai Scorecard Attestor. Ogni pipeline di esempio contiene i seguenti passaggi di build:

  1. build: crea un'immagine container di esempio.
  2. push: esegui il push dell'immagine in Container Registry.
  3. attest: controlla e firma l'immagine utilizzando Scorecard Attestor per creare un'attestazione basata sul criterio.

Nel passaggio attest di ogni pipeline, Scorecard Attestor effettua le seguenti operazioni:

  1. Recupera i dati sul repository SCM per l'immagine container appena creata.
  2. Esegue il prospetto sui dati non elaborati e valuta il repository SCM in base al criterio specificato dall'utente.
    1. Se tutti i criteri sono soddisfatti, Scorecard Attestor crea l'attestazione.
    2. Se uno o più criteri non sono soddisfatti, Attestatore della Scorecard non crea l'attestazione.

Al momento del deployment, Autorizzazione binaria controlla se è presente un'attestazione verificabile. In caso contrario, l'applicazione forzata non consente il deployment dell'immagine.

Costi

Questo tutorial utilizza i seguenti prodotti Google Cloud.

  • Container Registry
  • Artifact Analysis
  • Cloud Build
  • Cloud Key Management Service

Utilizza il Calcolatore prezzi per generare una stima dei costi in base all'utilizzo previsto.

Obiettivi

In questo tutorial:

  1. Configura Scorecard Attestor come builder personalizzato di Cloud Build.
  2. Visualizza e configura le norme relative agli attestatori della Scorecard.
  3. Esegui Scorecard Attestor su un repository di esempio per creare un'attestazione basata su un criterio.
  4. Esegui Scorecard Attestor su un repository di esempio in modalità di sola verifica senza creare un'attestazione. ## Prima di iniziare

In questa sezione, eseguirai una configurazione una tantum del sistema.

Configura l'ambiente

  1. Archivia il tuo progetto Google Cloud in una variabile di ambiente.

    export PROJECT_ID=PROJECT_ID

    Sostituisci PROJECT_ID con il tuo progetto Google Cloud.

  2. Imposta l'ID progetto predefinito sul tuo progetto Google Cloud:

    gcloud config set project $PROJECT_ID

  3. Memorizza il numero di progetto in una variabile di ambiente per i passaggi futuri:

    export PROJECT_NUMBER=$(gcloud projects list --filter="${PROJECT_ID}" \
 --format="value(PROJECT_NUMBER)")

  4. Abilita API:

    Per assicurarti che i servizi richiesti per questa guida siano abilitati, esegui questo comando:

    gcloud services enable \
  cloudbuild.googleapis.com \
  containerregistry.googleapis.com \
  containerscanning.googleapis.com \
  cloudkms.googleapis.com

Configurazione dei ruoli IAM

Esegui questi comandi per configurare l'account di servizio Cloud Build con i ruoli seguenti:

  • containeranalysis.notes.editor: aggiunge il ruolo Editor note Artifact Analysis per gestire l'attestatore.
  • containeranalysis.notes.occurrences.viewer: aggiunge il ruolo Occorrenze di Artifact Analysis per Note per gestire sia le vulnerabilità che le occorrenze di attestazione.
  • roles/containeranalysis.occurrences.editor: aggiunge il ruolo Editor occorrenze di Artifact Analysis per creare occorrenze di attestazione in Analisi di artefatti.

  • cloudkms.signer: aggiunge il ruolo Firmatario CryptoKey Cloud KMS che consente all'account di servizio di accedere al servizio di firma Cloud KMS.

    gcloud projects add-iam-policy-binding $PROJECT_ID --member serviceAccount:$PROJECT_NUMBER@cloudbuild.gserviceaccount.com --role roles/containeranalysis.notes.editor
gcloud projects add-iam-policy-binding $PROJECT_ID --member serviceAccount:$PROJECT_NUMBER@cloudbuild.gserviceaccount.com --role roles/containeranalysis.notes.occurrences.viewer
gcloud projects add-iam-policy-binding $PROJECT_ID --member serviceAccount:$PROJECT_NUMBER@cloudbuild.gserviceaccount.com --role roles/containeranalysis.occurrences.editor
gcloud projects add-iam-policy-binding $PROJECT_ID --member serviceAccount:$PROJECT_NUMBER@cloudbuild.gserviceaccount.com --role roles/cloudkms.signer

Crea una chiave di firma Cloud KMS

Le chiavi di Cloud Key Management Service vengono utilizzate per creare l'attestazione.

  1. Crea un nuovo keyring Cloud KMS con il nome scorecard-attestor-key-ring:

    gcloud kms keyrings create scorecard-attestor-key-ring \
    --location global

  2. Crea una nuova chiave Cloud KMS denominata scorecard-attestor-key all'interno del keyring:

    gcloud kms keys create scorecard-attestor-key \
    --keyring scorecard-attestor-key-ring \
    --location global \
    --purpose "asymmetric-signing" \
    --default-algorithm "rsa-sign-pkcs1-2048-sha256"

  3. Archivia l'algoritmo digest e Cloud KMS in una variabile di ambiente per i passaggi futuri:

    export KMS_DIGEST_ALG=SHA256
export KMS_KEY_NAME=projects/$PROJECT_ID/locations/global/keyRings/scorecard-attestor-key-ring/cryptoKeys/scorecard-attestor-key/cryptoKeyVersions/1

  4. Crea l'attestatore di Autorizzazione binaria. In seguito, Scorecard Attestor crea una nota associata a questo attestatore.

    gcloud container binauthz attestors create scorecard-attestor \
    --attestation-authority-note=scorecard-attestation \
    --attestation-authority-note-project=$PROJECT_ID \
    --description="Attest that ossf/scorecard policy checks pass"

  5. Associa l'attestatore di Autorizzazione binaria alla chiave KMS:

    gcloud container binauthz attestors public-keys add \
    --attestor=scorecard-attestor \
    --keyversion=1 \
    --keyversion-key=scorecard-attestor-key \
    --keyversion-keyring=scorecard-attestor-key-ring \
    --keyversion-location=global \
    --keyversion-project=$PROJECT_ID

Per esplorare altri algoritmi di firma, consulta l'articolo Creare chiavi asimmetriche.

Crea attestazioni con Scorecard Attestor in una pipeline Cloud Build

Invia la build di esempio del caso di errore

In questa sezione creerai un'immagine container e controllerai le sue pratiche di sicurezza della catena di fornitura con OpenSSF Scorecard. L'immagine viene creata correttamente, ma non crea un'attestazione. Il repository di base contiene alcune pratiche di sicurezza della catena di fornitura sconsigliate, come una dipendenza sbloccata a Debian 10 nel Dockerfile e un artefatto binario compilato verificato nel repository di codice sorgente. Si tratta di violazioni del criterio di attestazione nel repository.

  1. Clona il repository di test: scorecard-binauthz-test-bad.

  2. Visualizza il file del criterio di attestazione per la richiesta di errore.

    cat policy-binauthz.yaml

  3. (Facoltativo) Visualizza il file di configurazione di compilazione per il caso di errore.

    cat samples/signer/cloudbuild.yaml

  4. Invia la build:

    gcloud builds submit \
    --substitutions=_KMS_KEY_NAME=$KMS_KEY_NAME,_KMS_DIGEST_ALG=$KMS_DIGEST_ALG \
    --config=cloudbuild.yaml

Dovresti vedere un output simile al seguente:

time="2022-12-20T22:30:14Z" level=info msg="image failed scorecard attestation policy check"

  1. Salva l'ID build dell'ultima build:

    export BUILD_ID=$(gcloud builds list --limit=1 --format="value('ID')")

  2. Verifica il risultato:

    gsutil cat gs://${PROJECT_NUMBER}.cloudbuild-logs.googleusercontent.com/log-${BUILD_ID}.txt | grep "failed scorecard attestation policy check"

Invia la build di esempio di un caso di successo

In questa sezione creerai un'immagine container che soddisfi i relativi criteri di attestazione della Scorecard. In questo caso, l'attestatore della Scorecard crea un'attestazione.

Per inviare a Cloud Build la build di esempio di un caso di successo:

  1. Clona il repository di test: scorecard-binauthz-test-good.

  2. Visualizza il file del criterio di attestazione per la richiesta di errore. sh cat policy-binauthz.yaml

  3. (Facoltativo) Visualizza il file di configurazione di compilazione per il caso di errore.

    cat samples/signer/cloudbuild.yaml

  4. Invia la build:

    gcloud builds submit \
    --substitutions=_KMS_KEY_NAME=$KMS_KEY_NAME,_KMS_DIGEST_ALG=$KMS_DIGEST_ALG \
    --config=cloudbuild.yaml

  5. Verifica il risultato:

    gsutil cat gs://${PROJECT_NUMBER}.cloudbuild-logs.googleusercontent.com/log-${BUILD_ID}.txt | grep "passed scorecard attestation policy check"

  6. Recupera l'URL dell'immagine container che è stata creata e controllata dal prospetto

    export IMAGE_URI=$(gsutil cat gs://${PROJECT_NUMBER}.cloudbuild-logs.googleusercontent.com/log-${BUILD_ID}.txt | grep -o "Attestation for image .* is successfully uploaded" txt | cut -d' ' -f4 | tr -d '"')

  7. Conferma che è stata creata un'attestazione per l'immagine container. Scorecard Attestor utilizza l'ID nota ossf-scorecard-attestation e il nome della nota projects/${PROJECT_ID}/notes/ossf-scorecard-attestation.

    gcloud container binauthz attestations list \
    --attestor="projects/${PROJECT_ID}/attestors/ossf-scorecard-attestor" \
    --filter="resourceUri='https://${IMAGE_URI}'"

Esegui la pulizia

Per eseguire la pulizia delle risorse utilizzate in questo documento, puoi eliminare il progetto:

gcloud projects delete $PROJECT_ID

Passaggi successivi