Crea attestazioni con il prospetto OpenSSF

Questo tutorial mostra come utilizzare la Scorecard OpenSSF per controllare le best practice per la sicurezza della catena di fornitura nelle immagini container. L'attestatore Scorecard viene eseguito come parte della pipeline di Cloud Build per generare un'attestazione che può essere verificata da Autorizzazione binaria prima del deployment. Questo passaggio di verifica impedisce il deployment in produzione degli artefatti dei container compromessi, il che può prevenire diverse classi di vulnerabilità della catena di fornitura.

Panoramica

La Open Source Security Foundation (OpenSSF) è un'organizzazione che fornisce strumenti, servizi e infrastrutture per iniziative di sicurezza open source. Il prospetto è uno strumento, gestito da OpenSSF, che analizza i repository di gestione del codice sorgente (SCM) per individuare le best practice per la sicurezza della catena di fornitura.

Scorecard Attestor è uno strumento integrato nella Scorecard che consente di creare attestazioni di Autorizzazione binaria in base a un criterio da te configurato. Scorecard Attestor esegue il prospetto rispetto al repository SCM di un'immagine container, genera risultati, valuta i risultati rispetto al criterio e genera un'attestazione se il criterio è soddisfatto.

In questo tutorial, creerai un repository di esempio e quindi userai Scorecard Attestor. Ogni pipeline di esempio contiene i seguenti passaggi di build:

  1. build: crea un'immagine container di esempio.
  2. push: esegui il push dell'immagine in Container Registry.
  3. attest: controlla e firma l'immagine utilizzando Scorecard Attestor per creare un'attestazione basata sul criterio.

Nel passaggio attest di ogni pipeline, Scorecard Attestor esegue queste operazioni:

  1. Recupera i dati sul repository SCM per l'immagine container appena creata.
  2. Esegue Scorecard sui dati non elaborati e valuta il repository SCM in base al criterio specificato dall'utente.
    1. Se tutti i criteri sono soddisfatti, l'attestatore prospetto crea l'attestazione.
    2. Se uno o più criteri non sono soddisfatti, Scorecard Attestor non crea l'attestazione.

Al momento del deployment, Autorizzazione binaria controlla se è presente un'attestazione verificabile. Senza uno, l'applicazione forzata impedisce il deployment dell'immagine.

Costi

Questo tutorial utilizza i seguenti prodotti Google Cloud.

  • Container Registry
  • Artifact Analysis
  • Cloud Build
  • Cloud Key Management Service

Utilizza il Calcolatore prezzi per generare una stima dei costi. in base all'utilizzo previsto.

Obiettivi

In questo tutorial imparerai a:

  1. Configura Scorecard Attestor come builder personalizzato di Cloud Build.
  2. Visualizza e configura il criterio dell'attestatore prospetto.
  3. Esegui Scorecard Attestor su un repository di esempio per creare un'attestazione basata su un criterio.
  4. Esegui Scorecard Attestor su un repository di esempio in modalità di sola verifica senza creare un'attestazione. ## Prima di iniziare

In questa sezione, eseguirai una configurazione una tantum del sistema.

Configura l'ambiente

  1. Archivia il progetto Google Cloud in una variabile di ambiente.

    export PROJECT_ID=PROJECT_ID

    Sostituisci PROJECT_ID con il tuo progetto Google Cloud.

  2. Imposta l'ID progetto predefinito sul tuo progetto Google Cloud:

    gcloud config set project $PROJECT_ID

  3. Archivia il numero del progetto in una variabile di ambiente per i passaggi futuri:

    export PROJECT_NUMBER=$(gcloud projects list --filter="${PROJECT_ID}" \
 --format="value(PROJECT_NUMBER)")

  4. Abilita le API:

    Per assicurarti che i servizi richiesti per questa guida siano abilitati, esegui la seguente comando:

    gcloud services enable \
  cloudbuild.googleapis.com \
  containerregistry.googleapis.com \
  containerscanning.googleapis.com \
  cloudkms.googleapis.com

Configura i ruoli IAM

Esegui questi comandi per configurare l'account di servizio Cloud Build con i seguenti ruoli:

  • containeranalysis.notes.editor: aggiunge la classe Ruolo di Editor note di Artifact Analysis per gestire o l'attestatore.
  • containeranalysis.notes.occurrences.viewer: aggiunge la classe Ruolo Artifact Analysis Occurrences for Notes (Occorrenze di Artifact Analysis per Note) per gestire sia e le occorrenze di vulnerabilità e attestazioni.
  • roles/containeranalysis.occurrences.editor: aggiunge la classe Analisi degli artefatti Ruolo Editor occorrenze per creare occorrenze di attestazione in Artifact Analysis.

  • cloudkms.signer: aggiunge il ruolo Firmatario CryptoKey Cloud KMS che Consente all'account di servizio di accedere al servizio di firma di Cloud KMS.

    gcloud projects add-iam-policy-binding $PROJECT_ID --member serviceAccount:$PROJECT_NUMBER@cloudbuild.gserviceaccount.com --role roles/containeranalysis.notes.editor
gcloud projects add-iam-policy-binding $PROJECT_ID --member serviceAccount:$PROJECT_NUMBER@cloudbuild.gserviceaccount.com --role roles/containeranalysis.notes.occurrences.viewer
gcloud projects add-iam-policy-binding $PROJECT_ID --member serviceAccount:$PROJECT_NUMBER@cloudbuild.gserviceaccount.com --role roles/containeranalysis.occurrences.editor
gcloud projects add-iam-policy-binding $PROJECT_ID --member serviceAccount:$PROJECT_NUMBER@cloudbuild.gserviceaccount.com --role roles/cloudkms.signer

Crea una chiave di firma di Cloud KMS

Le chiavi di Cloud Key Management Service vengono utilizzate per creare l'attestazione.

  1. Crea un nuovo keyring di Cloud KMS con il nome scorecard-attestor-key-ring:

    gcloud kms keyrings create scorecard-attestor-key-ring \
    --location global

  2. Crea una nuova chiave Cloud KMS denominata scorecard-attestor-key all'interno di il keyring:

    gcloud kms keys create scorecard-attestor-key \
    --keyring scorecard-attestor-key-ring \
    --location global \
    --purpose "asymmetric-signing" \
    --default-algorithm "rsa-sign-pkcs1-2048-sha256"

  3. Archivia l'algoritmo digest e Cloud KMS in una variabile di ambiente per passaggi successivi:

    export KMS_DIGEST_ALG=SHA256
export KMS_KEY_NAME=projects/$PROJECT_ID/locations/global/keyRings/scorecard-attestor-key-ring/cryptoKeys/scorecard-attestor-key/cryptoKeyVersions/1

  4. Crea l'attestatore di Autorizzazione binaria. Successivamente, l'attestatore prospetto crea una nota associata a questo attestatore.

    gcloud container binauthz attestors create scorecard-attestor \
    --attestation-authority-note=scorecard-attestation \
    --attestation-authority-note-project=$PROJECT_ID \
    --description="Attest that ossf/scorecard policy checks pass"

  5. Associa l'attestatore di Autorizzazione binaria alla chiave KMS:

    gcloud container binauthz attestors public-keys add \
    --attestor=scorecard-attestor \
    --keyversion=1 \
    --keyversion-key=scorecard-attestor-key \
    --keyversion-keyring=scorecard-attestor-key-ring \
    --keyversion-location=global \
    --keyversion-project=$PROJECT_ID

Per esplorare altri algoritmi di firma, consulta la sezione Creare chiavi asimmetriche.

Creazione di attestazioni con Scorecard Attestor in una pipeline di Cloud Build

Invia la build di esempio del caso di errore

In questa sezione creerai un'immagine container e controllerai le sue pratiche di sicurezza della catena di fornitura con OpenSSF Scorecard. L'immagine viene creata correttamente, ma non crea un'attestazione. Il repository di base contiene alcune pratiche di sicurezza della catena di fornitura sconsigliate, come una dipendenza sbloccata per Debian 10 nel Dockerfile e un artefatto binario compilato archiviato nel repository di origine. Si tratta di violazioni del criterio di attestazione nel repository.

  1. Clona il repository di test: scorecard-binauthz-test-bad.

  2. Visualizza il file dei criteri di attestazione per la richiesta di errore.

    cat policy-binauthz.yaml

  3. (Facoltativo) Visualizza il file di configurazione della build per il caso di errore.

    cat samples/signer/cloudbuild.yaml

  4. Invia la build:

    gcloud builds submit \
    --substitutions=_KMS_KEY_NAME=$KMS_KEY_NAME,_KMS_DIGEST_ALG=$KMS_DIGEST_ALG \
    --config=cloudbuild.yaml

Dovresti vedere un output simile al seguente:

time="2022-12-20T22:30:14Z" level=info msg="image failed scorecard attestation policy check"

  1. Salva l'ID build dall'ultima build:

    export BUILD_ID=$(gcloud builds list --limit=1 --format="value('ID')")

  2. Verifica il risultato:

    gcloud storage cat gs://${PROJECT_NUMBER}.cloudbuild-logs.googleusercontent.com/log-${BUILD_ID}.txt | grep "failed scorecard attestation policy check"

Invia la build di esempio del caso di successo

In questa sezione creerai un'immagine container che soddisfi il suo criterio di attestazione del prospetto. In questo caso, l'attestatore prospetto crea un'attestazione.

Per inviare la build di esempio a Cloud Build, segui questi passaggi:

  1. Clona il repository di test: scorecard-binauthz-test-good.

  2. Visualizza il file dei criteri di attestazione per la richiesta di errore. sh cat policy-binauthz.yaml

  3. (Facoltativo) Visualizza il file di configurazione della build per il caso di errore.

    cat samples/signer/cloudbuild.yaml

  4. Invia la build:

    gcloud builds submit \
    --substitutions=_KMS_KEY_NAME=$KMS_KEY_NAME,_KMS_DIGEST_ALG=$KMS_DIGEST_ALG \
    --config=cloudbuild.yaml

  5. Verifica il risultato:

    gcloud storage cat gs://${PROJECT_NUMBER}.cloudbuild-logs.googleusercontent.com/log-${BUILD_ID}.txt | grep "passed scorecard attestation policy check"

  6. Ottieni l'URL dell'immagine container creata e verificata dal prospetto

    export IMAGE_URI=$(gcloud storage cat gs://${PROJECT_NUMBER}.cloudbuild-logs.googleusercontent.com/log-${BUILD_ID}.txt | grep -o "Attestation for image .* is successfully uploaded" txt | cut -d' ' -f4 | tr -d '"')

  7. Conferma che è stata creata un'attestazione per l'immagine container. L'attestatore prospetto utilizza l'ID nota ossf-scorecard-attestation e il nome della nota projects/${PROJECT_ID}/notes/ossf-scorecard-attestation.

    gcloud container binauthz attestations list \
    --attestor="projects/${PROJECT_ID}/attestors/ossf-scorecard-attestor" \
    --filter="resourceUri='https://${IMAGE_URI}'"

Esegui la pulizia

Per eseguire la pulizia delle risorse utilizzate in questo documento, puoi eliminare il progetto:

gcloud projects delete $PROJECT_ID

Passaggi successivi