Creazione di attestazioni con Voucher

Questo tutorial descrive come configurare e utilizzare Coupon per creare attestazioni di Autorizzazione binaria.

Panoramica del coupon

Voucher è uno strumento open source che esegue una suite di controlli sulle immagini container prima di creare le attestazioni di Autorizzazione binaria per le immagini. Il coupon ha un componente client e un componente server. Esegui Voucher Client come passaggio aggiuntivo nella pipeline di compilazione, dopo il passaggio che genera l'immagine. Quando viene eseguito il passaggio di compilazione del client del coupon, l'immagine viene inviata al server del coupon, che esegue i controlli. Puoi definire quali controlli vengono eseguiti da Voucher, insieme ad altri criteri, nel file di configurazione del server Voucher.

Questo tutorial mostra come utilizzare il controllo snakeoilCoupon per verificare la presenza di vulnerabilità nelle immagini. Puoi attivare il controllo nel file di configurazione Impostare l'opzione fail-on su una soglia di vulnerabilità, come mostrato più avanti questo tutorial.

Al termine del controllo snakeoil, se tutte le vulnerabilità identificate scendere al di sotto della soglia, il server voucher crea Autorizzazione binaria dell'immagine. Se una delle vulnerabilità identificate raggiunge o supera la soglia, il server dei coupon non crea un'attestazione.

Al momento del deployment dell'immagine del contenitore, senza un'attestazione verificata, l'agente di applicazione dell'autorizzazione binaria non consente il deployment dell'immagine.

Nota: in questo tutorial crei Voucher Server ed esegui il deployment in Cloud Run. Se invece preferisci ospitare un server di coupon predefinito su Google Kubernetes Engine (GKE), Voucher Server è disponibile anche come contenitore click-to-deploy in Google Cloud Marketplace. Per maggiori informazioni, consulta Eseguire il server Voucher su GKE.

Obiettivi

In questa guida imparerai a:

1. Configura il server coupon in Cloud Run.
2. Configura il client coupon.
3. Utilizza il coupon nelle pipeline di compilazione di esempio.

Costi

Questa guida utilizza i seguenti prodotti Google Cloud.

• Container Registry
• Artifact Analysis
• Cloud Build
• Cloud Key Management Service
• Cloud Run

Utilizza il Calcolatore prezzi per generare una stima dei costi. in base all'utilizzo previsto.

Prima di iniziare

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Enable the Cloud Build, Container Registry, Artifact Analysis, Cloud KMS, Cloud Run, and Identity and Access Management APIs.

   Enable the APIs

5. Install the Google Cloud CLI.

6. To initialize the gcloud CLI, run the following command:

   gcloud init

7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

8. Make sure that billing is enabled for your Google Cloud project.

9. Enable the Cloud Build, Container Registry, Artifact Analysis, Cloud KMS, Cloud Run, and Identity and Access Management APIs.

   Enable the APIs

10. Install the Google Cloud CLI.

11. To initialize the gcloud CLI, run the following command:

    gcloud init

12. Ti consigliamo di configurare l'Autorizzazione binaria con Google Kubernetes Engine. Questo tutorial descrive come creare un'attestazione. Per usare la fase di deployment per verificare l'attestazione ed eseguire il deployment immagine, è necessario configurare Autorizzazione binaria. Assicurati di configurare il criterio in modo da richiedere le attestazioni. Puoi configurare il criterio nella console Google Cloud oppure nella riga di comando.

13. Specifica il progetto Google Cloud in una variabile di ambiente.

    Nota: questo ID progetto viene utilizzato in questo documento.

      export PROJECT_ID=PROJECT_ID
    

    Sostituisci PROJECT_ID con l'ID progetto.

14. Imposta l'ID progetto per i comandi gcloud:

    gcloud config set project ${PROJECT_ID}

15. Specifica il numero del progetto in una variabile di ambiente per i passaggi futuri:

    export PROJECT_NUMBER=$(gcloud projects describe "${PROJECT_ID}" \
      --format='value(project_number)')

Configurare il server dei coupon

Nei passaggi successivi, configurerai il server coupon.

Creare una chiave di firma di Cloud Key Management Service

In questa sezione devi creare la chiave che il Voucher Server utilizza per creare un Attestazione di Autorizzazione binaria.

1. Crea un keyring:

   gcloud kms keyrings create KEY_RING\
      --location global
   

   Sostituisci KEY_RING con un nome di keyring, ad esempio voucher-key-ring.

2. Crea una chiave di firma:

   gcloud kms keys create KEY_NAME \
     --keyring KEY_RING \
     --location global \
     --purpose "asymmetric-signing" \
     --default-algorithm "rsa-sign-pkcs1-4096-sha512"
   

   Sostituisci KEY_NAME con il nome di una chiave, ad esempio voucher-key.

   Nota: il coupon supporta solo gli algoritmi di digest SHA512.

3. Memorizza l'ID risorsa della versione della chiave di Cloud Key Management Service:

   export KMS_RESOURCE_ID=projects/$PROJECT_ID/locations/global/keyRings/KEY_RING/cryptoKeys/KEY_NAME/cryptoKeyVersions/1
   

4. Concedi il ruolo cloudkms.signer all'account di servizio del motore di runtime di Compute Engine.

   In questo passaggio, concedi il ruolo cloudkms.signer all'account di servizio che esegue Voucher Server. Ciò consente a Voucher Server di firmare le attestazioni con le chiavi di Cloud Key Management Service. Per farlo, esegui questo comando:

   gcloud kms keys add-iam-policy-binding\
     KEY_NAME --keyring=KEY_RING\
     --location=global\
     --member=serviceAccount:${PROJECT_NUMBER}[e-mail]\
     --role=roles/cloudkms.signer
   

Crea la nota di analisi degli elementi

In questa sezione crei la nota.

1. Memorizza l'ID nota:

   export NOTE_ID=snakeoil
   

2. Memorizza l'URI della nota:

   export NOTE_URI=projects/$PROJECT_ID/notes/$NOTE_ID
   

3. Crea il payload della richiesta:

   cat > /tmp/note_payload.json << EOM
   {
     "name": "${NOTE_URI}",
     "attestation": {
       "hint": {
         "human_readable_name": "voucher note for snakeoil check"
       }
     }
   }
   EOM
   

4. Crea la nota:

   curl -X POST \
     -H "Content-Type: application/json" \
     -H "Authorization: Bearer $(gcloud --project ${PROJECT_ID} auth print-access-token)"  \
     -H "x-goog-user-project: ${PROJECT_ID}" \
     --data-binary @/tmp/note_payload.json  \
   "https://containeranalysis.googleapis.com/v1/projects/${PROJECT_ID}/notes/?noteId=${NOTE_ID}"
   

Crea e configura il server Voucher

In questa configurazione da effettuare una sola volta, riceverai, configurerai e creerai l'immagine del server coupon. Quindi lo archivierai in Container Registry.

1. Clona il repository dei coupon:

   git clone https://github.com/grafeas/voucher.git
   cd voucher/
   

   Questo repository contiene:

   • Codice sorgente per la creazione di Voucher Server.
   • Codice sorgente per creare un client coupon.
   • Esempi che mostrano l'utilizzo di Voucher.

2. Aggiorna il file di configurazione di Voucher Server.

   Linux

   Crea il file di configurazione del server dei coupon da un modello, sostituendo e con i valori definiti sopra. Per farlo, esegui il seguente comando:

    cat tutorials/cloudrun/config.toml.template \
       | sed -e "s?<PROJECT_ID>?${PROJECT_ID}?g" \
       | sed -e "s?<KMS_KEY_NAME>?${KMS_RESOURCE_ID}?g" \
         > tutorials/cloudrun/config.toml
   

   Altro sistema operativo

   1. Modifica il file tutorials/cloudrun/config.toml.template.

      • Sostituisci <PROJECT_ID> con il valore in ${PROJECT_ID}.
      • Sostituisci <KMS_KEY_NAME> con il valore in ${KMS_RESOURCE_ID}.

   2. Salva il file come tutorials/cloudrun/config.toml.

3. Visualizza il file di configurazione di Voucher Server:

   cat tutorials/cloudrun/config.toml
   

   Viene visualizzato un output contenente quanto segue:

   failon = "high"
   

   Tieni presente che nel file di configurazione l'opzione failon è impostata su high. Questa impostazione configura Voucher Server in modo che esegua un controllo di vulnerabilità un'immagine. Se l'immagine contiene vulnerabilità con gravità HIGH, il controllo non va a buon fine e Voucher Server non crea l'attestazione di Autorizzazione binaria. Per ulteriori informazioni sulle impostazioni fail-on, consulta Fail-On: errore in caso di vulnerabilità.

4. Crea e carica l'immagine del container Voucher Server:

   In questa sezione esegui la pipeline Cloud Build che crea l'immagine del container del server dei coupon. La build carica anche l'immagine del server di voucher su gcr.io/$PROJECT_ID/voucher-server.

   gcloud  builds submit --config ./tutorials/cloudrun/cloudbuild-server.yaml
   

Esegui il deployment del server Voucher su Cloud Run

1. Seleziona una regione.

   Per visualizzare un elenco delle regioni disponibili, vedi Visualizzazione di un elenco delle regioni disponibili. Crea una variabile per memorizzare la regione selezionata:

   export REGION=REGION
   

   Sostituisci REGION con il nome della regione in cui prevedi distribuire il server voucher.

2. Esegui il deployment di Voucher Server su Cloud Run.

   gcloud run deploy --image gcr.io/${PROJECT_ID}/voucher-server \
     --platform managed voucher-server \
     --region ${REGION} \
     --no-allow-unauthenticated
   

   L'output visualizzato sarà simile al seguente:

   Service [voucher-server] revision [voucher-server-00001-caw] has been deployed and is serving 100 percent of traffic.
   Service URL: https://voucher-server-4wjtm2amga-uc.a.run.app
   

3. Memorizza l'URL del servizio del server dei coupon:

   export SERVER_SERVICE_URL=$(gcloud run services describe voucher-server --platform managed --region ${REGION} --format='value(status.url)')
   

Configura il client coupon

Nei passaggi che seguono viene configurato il client coupon.

1. Crea l'account di servizio callback per il client coupon:

   gcloud iam service-accounts create INVOKER_ACCOUNT_NAME
   

   Sostituisci INVOKER_ACCOUNT_NAME con un nome per il servizio callback come voucher-invoker.

2. Specifica l'account di servizio:

   export INVOKER_SERVICE_ACCOUNT=INVOKER_ACCOUNT_NAME@$PROJECT_ID.iam.gserviceaccount.com
   

3. Concedi il ruolo run.invoker all'account di servizio invocatore per il progetto.

   Concedi all'account di servizio invocatore l'autorizzazione a invocare il server dei coupon su Cloud Run. Per farlo, inserisci il seguente comando:

   gcloud run services add-iam-policy-binding voucher-server \
     --member serviceAccount:$INVOKER_SERVICE_ACCOUNT \
     --role roles/run.invoker \
     --platform managed \
     --region ${REGION}
   

4. Concedi il ruolo iam.serviceAccountTokenCreator a con un account di servizio invokerr per Cloud Build.

   In questa sezione, concedi all'account di servizio Cloud Build l'autorizzazione per impersonare l'account di servizio dell'invoker in modo che il client dei coupon abbia l'autorizzazione per inviare richieste al server dei coupon durante la compilazione. Per farlo, inserisci seguente comando:

   gcloud iam service-accounts add-iam-policy-binding $INVOKER_SERVICE_ACCOUNT \
     --member=serviceAccount:$[e-mail] \
     --role=roles/iam.serviceAccountTokenCreator
   

Usa il coupon per verificare la presenza di vulnerabilità nelle immagini

In questa sezione eseguirai due pipeline di Cloud Build di esempio. In entrambi i formati, delle pipeline, crei un'immagine e poi usi Voucher per le vulnerabilità.

Caso di errore

In questa sezione, la pipeline di compilazione di esempio non riesce a creare un'attestazione. L'immagine che crei, basata su Debian 9, contiene almeno una vulnerabilità di gravità HIGH. L'opzione fail-on nel server dei coupon config.toml è impostato per non riuscire sulle vulnerabilità con gravità HIGH. In questo caso, Il server coupon non crea un'attestazione di Autorizzazione binaria.

1. Esegui la pipeline di compilazione:

   gcloud builds submit \
     --substitutions=_SERVICE_URL=$SERVER_SERVICE_URL,_SERVICE_ACCOUNT=$INVOKER_SERVICE_ACCOUNT \
     --config=tutorials/cloudrun/examples/cloudbuild-bad.yaml tutorials/cloudrun/examples
   

2. Cerca i risultati del coupon snakeoil nel log dell'ultima build:

   Console

   1. Prendi nota dell'ID dell'ultima build.

   2. Nella console Google Cloud, vai alla pagina Cronologia build.

      Andare a Cronologia build

   3. In Crea, fai clic sull'elemento che contiene i primi caratteri. dell'ID build.

   4. Fai clic su Visualizza messaggio non elaborato.

   5. Cerca snakeoil utilizzando il browser.

      L'output visualizzato sarà simile al seguente:

      "name":"snakeoil","error":"vulnerable to 14 vulnerabilities"
      

   gcloud

   1. Salva l'ID build dalla build:

      export BUILD_ID=$(gcloud builds list --limit=1 --format="value('ID')")
      

   2. Cerca nel log di build inserendo il comando seguente:

       gcloud builds log ${BUILD_ID} | grep "snakeoil"
      

      L'output è simile al seguente:

      "name":"snakeoil","error":"vulnerable to 14 vulnerabilities"
      

Caso di successo

In questa sezione, la pipeline di compilazione di esempio riesce a creare un'attestazione. Poiché tutte le vulnerabilità identificate sono classificate come inferiori alla soglia fail-on , il controllo supera la pipeline e viene creata l'attestazione.

Nota: potresti notare risultati diversi. Questa build potrebbe non riuscire a creare se, in un momento futuro, il controllo di vulnerabilità identifica nuove vulnerabilità classificate con una gravità pari a HIGH.

1. Esegui la pipeline:

   gcloud builds submit\
     --substitutions=_SERVICE_URL=$SERVER_SERVICE_URL,_SERVICE_ACCOUNT=$INVOKER_SERVICE_ACCOUNT\
     --config=tutorials/cloudrun/examples/cloudbuild-good.yaml tutorials/cloudrun/examples
   

   Nota :questa build potrebbe inizialmente non riuscire a creare l'attestazione. Questo accade perché la propagazione delle autorizzazioni concesse in precedenza in questo tutorial a Voucher Server può richiedere alcuni minuti. Per risolvere il problema, esegui di nuovo il comando build.

2. Cerca nel log dell'ultima compilazione i risultati relativi al coupon snakeoil:

   Console

   1. Prendi nota dell'ID dell'ultima build.

   2. Nella console Google Cloud, vai alla pagina Cronologia build.

      Vai a Cronologia build

   3. In Build, fai clic sull'elemento che contiene i primi caratteri dell'ID build.

   4. Fai clic su Visualizza messaggio non elaborato.

   5. Cerca snakeoil utilizzando il browser.

      L'output visualizzato sarà simile al seguente:

      "name":"snakeoil","success":true,"attested":true
      

   gcloud

   1. Salva l'ID build dall'ultima build:

      export BUILD_ID=$(gcloud builds list --limit=1 --format="value('ID')")
      

   2. Cerca nel log di compilazione inserendo il seguente comando:

       gcloud builds log ${BUILD_ID} | grep "snakeoil"
      

      L'output è il seguente:

      "name":"snakeoil","success":true,"attested":true
      

Esegui la pulizia

Per ripulire le risorse utilizzate in questo documento, puoi eliminare il progetto come segue:

gcloud projects delete ${PROJECT_ID}

Crea un attestatore

Per creare un criterio che richieda le attestazioni create utilizzando il metodo descritto in questa guida, devi prima creare un attestatore.

Per creare un attestatore:

1. Recupera il materiale della chiave pubblica dalla chiave Cloud KMS che hai create in precedenza in questa guida:

   gcloud kms keys versions get-public-key 1 \
   --key KEY_NAME \
   --keyring KEY_RING \
   --location global \
   --output-file OUTPUT_PATH
   

   • KEY_NAME: nome della chiave
   • KEY_RING: il nome del keyring
   • OUTPUT_PATH: un percorso file, ad esempio my-key.pem

2. Crea un attestatore utilizzando il materiale della chiave pubblica nel file e nella nota creato in precedenza in questa guida. Puoi creare un attestatore tramite la console Google Cloud o gcloud CLI.

3. Crea un criterio che richieda le attestazioni e fornisci l'attestatore che hai creato in questa sezione. Puoi creare un criterio tramite la console Google Cloud o la CLI gcloud.

Crea un'attestazione

Per creare un'attestazione utilizzando l'attestatore, consulta Creare un'attestazione utilizzando Cloud KMS.

Passaggi successivi

• Configura il criterio di Autorizzazione binaria per richiedere le attestazioni utilizzando il metodo strumento a riga di comando o console Google Cloud.
• Crea l'attestatore utilizzato da Autorizzazione binaria per verificare l'attestazione al momento del deployment utilizzando lo strumento a riga di comando o la console Google Cloud.
• Visualizza la documentazione relativa ai coupon su GitHub.
• Scopri di più su Autorizzazione binaria.
• Scopri di più su Artifact Analysis e scansione delle vulnerabilità.
• Scopri di più su Cloud Key Management Service.