Afficher la provenance de la compilation

Cette page explique comment afficher et auditer les métadonnées de provenance de compilation générées par Cloud Build.

La provenance de la compilation est une collection de données vérifiables concernant une compilation exécutée par Cloud Build. Les métadonnées de provenance incluent des détails tels que les condensés des images compilées, les emplacements de la source d'entrée, les arguments de la compilation et la durée de compilation.

Cloud Build permet la génération d'une provenance de compilation conforme au niveau de la chaîne d'approvisionnement pour les artefacts logiciels (SLSA) de niveau 3 basée sur les spécifications du SLSA version 0.1. La compatibilité avec la version 1.0 de SLSA est maintenant en version preview.

Dans le cadre de la compatibilité avec la spécification SLSA v1.0, Cloud Build fournit des informations sur buildType. Vous pouvez utiliser le schéma buildType pour comprendre le modèle paramétré utilisé pour le processus de compilation. Pour en savoir plus, consultez la section Cloud Build buildType v1.

Avant de commencer

1. Enable the Cloud Build, Artifact Analysis, and Artifact Registry APIs.

   Enable the APIs

2. Pour utiliser les exemples de ligne de commande de ce guide, installez et configurez le SDK Google Cloud.

   Remarque :Si vous avez déjà installé Google Cloud SDK, assurez-vous de disposer de la dernière version disponible en exécutant gcloud components update.

Cette fonctionnalité n'est disponible qu'avec les images de conteneurs stockées dans Artifact Registry.

Afficher la provenance de la compilation

Cette section explique comment afficher les métadonnées de provenance de la compilation créées par Cloud Build.

Lorsque vous créez une image avec Cloud Build, la provenance de l'image est automatiquement enregistrée. Vous pouvez ensuite récupérer ces informations à des fins d'audit.

Consulter la provenance dans la console Google Cloud

Vous pouvez consulter la provenance de la compilation dans le panneau latéral Insights sur la sécurité de la console Google Cloud.

Le panneau latéral Insights sur la sécurité offre une vue d'ensemble des informations de sécurité concernant les artefacts stockés dans Artifact Registry. Pour en savoir plus sur le panneau latéral et découvrir comment utiliser Cloud Build afin de protéger votre chaîne d'approvisionnement logicielle, consultez Afficher les insights sur la sécurité des builds.

Afficher la provenance à l'aide de la Google Cloud CLI

1. Pour générer les métadonnées de provenance, exécutez une compilation avec Cloud Build.

   Transférez l'image compilée à l'aide du champ images au lieu d'une étape de compilation docker push. Cloud Build ne génère des attestations que pour les images transmises via le champ images.

2. Pour afficher les métadonnées de provenance générées, exécutez la commande suivante:

   gcloud artifacts docker images describe \
   LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH \
   --show-provenance
   

   Remplacez les valeurs d'espace réservé dans la commande par les éléments suivants :

   • LOCATION : emplacement régional ou multirégional.
   • PROJECT_ID : ID de projet Google Cloud.
   • REPOSITORY : nom du dépôt.
   • IMAGE : nom de l'image.
   • HASH : valeur de hachage sha256 de l'image. Vous pouvez le trouver dans la sortie de votre build.

   Le résultat correspond à la provenance du conteneur, comme décrit dans la spécification de provenance SLSA. Exemple :

     image_summary:
     digest: sha256:7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
     fully_qualified_digest: us-central1-docker.pkg.dev/my-project/my-repo/my-image@sha256:7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
     registry: us-central1-docker.pkg.dev
     repository: my-repo
     slsa_build_level: 0
   provenance_summary:
     provenance:
     - build:
         inTotoSlsaProvenanceV1:
           _type: https://in-toto.io/Statement/v1
           predicate:
             buildDefinition:
               buildType: https://cloud.google.com/build/gcb-buildtypes/google-worker/v1
               externalParameters:
                 buildConfigSource:
                   path: cloudbuild.yaml
                   ref: refs/heads/main
                   repository: git+https://github.com/my-username/my-git-repo
                 substitutions: {}
               internalParameters:
                 systemSubstitutions:
                   BRANCH_NAME: main
                   BUILD_ID: e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
                   COMMIT_SHA: 525c52c501739e6df0609ed1f944c1bfd83224e7
                   LOCATION: us-west1
                   PROJECT_NUMBER: '265426041527'
                   REF_NAME: main
                   REPO_FULL_NAME: my-username/my-git-repo
                   REPO_NAME: my-git-repo
                   REVISION_ID: 525c52c501739e6df0609ed1f944c1bfd83224e7
                   SHORT_SHA: 525c52c
                   TRIGGER_BUILD_CONFIG_PATH: cloudbuild.yaml
                   TRIGGER_NAME: github-trigger-staging
                 triggerUri: projects/265426041527/locations/us-west1/triggers/a0d239a4-635e-4bd3-982b-d8b72d0b4bab
               resolvedDependencies:
               - digest:
                   gitCommit: 525c52c501739e6df0609ed1f944c1bfd83224e7
                 uri: git+https://github.com/my-username/my-git-repo@refs/heads/main
               - digest:
                   sha256: 154fcd4d2d65c6a35b06b98053a0829c581e223d530be5719326f5d85d680e8d
                 uri: gcr.io/cloud-builders/docker@sha256:154fcd4d2d65c6a35b06b98053a0829c581e223d530be5719326f5d85d680e8d
             runDetails:
               builder:
                 id: https://cloudbuild.googleapis.com/GoogleHostedWorker
               byproducts:
               - {}
               metadata:
                 finishedOn: '2023-08-01T19:57:10.734471Z'
                 invocationId: https://cloudbuild.googleapis.com/v1/projects/my-project/locations/us-west1/builds/e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
                 startedOn: '2023-08-01T19:56:57.451553160Z'
           predicateType: https://slsa.dev/provenance/v1
           subject:
           - digest:
               sha256: 7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
             name: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image
           - digest:
               sha256: 7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
             name: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image:latest
       createTime: '2023-08-01T19:57:14.810489Z'
       envelope:
         payload: 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
         payloadType: application/vnd.in-toto+json
         signatures:
         - keyid: projects/verified-builder/locations/global/keyRings/attestor/cryptoKeys/google-hosted-worker/cryptoKeyVersions/1
           sig: MEUCIQCss8UlQL2feFePRJuKTE8VA73f85iqj4OJ9SvVPqTNwAIgYyuyuIrl1PxQC5B109thO24Y6NA4bTa0PJY34EHRSVE=
       kind: BUILD
       name: projects/my-project/occurrences/71787589-c6a6-4d6a-a030-9fd041e40468
       noteName: projects/argo-qa/notes/intoto_slsa_v1_e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
       resourceUri: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image@sha256:7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
       updateTime: '2023-08-01T19:57:14.810489Z'
     - build:
         intotoStatement:
           _type: https://in-toto.io/Statement/v0.1
           predicateType: https://slsa.dev/provenance/v0.1
           slsaProvenance:
             builder:
               id: https://cloudbuild.googleapis.com/GoogleHostedWorker@v0.3
             materials:
             - digest:
                 sha1: 525c52c501739e6df0609ed1f944c1bfd83224e7
               uri: git+https://github.com/my-username/my-git-repo
             metadata:
               buildFinishedOn: '2023-08-01T19:57:10.734471Z'
               buildInvocationId: e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
               buildStartedOn: '2023-08-01T19:56:57.451553160Z'
             recipe:
               arguments:
                 '@type': type.googleapis.com/google.devtools.cloudbuild.v1.Build
                 id: e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
                 name: projects/265426041527/locations/us-west1/builds/e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
                 options:
                   dynamicSubstitutions: true
                   logging: LEGACY
                   pool: {}
                   requestedVerifyOption: VERIFIED
                   substitutionOption: ALLOW_LOOSE
                 sourceProvenance: {}
                 steps:
                 - args:
                   - tag
                   - hello-world
                   - us-central1-docker.pkg.dev/my-project/my-repo/my-image
                   name: gcr.io/cloud-builders/docker
                   pullTiming:
                     endTime: '2023-08-01T19:57:07.231646287Z'
                     startTime: '2023-08-01T19:57:07.225609188Z'
                   status: SUCCESS
                   timing:
                     endTime: '2023-08-01T19:57:08.343864907Z'
                     startTime: '2023-08-01T19:57:07.225609188Z'
                 substitutions:
                   BRANCH_NAME: main
                   COMMIT_SHA: 525c52c501739e6df0609ed1f944c1bfd83224e7
                   REF_NAME: main
                   REPO_FULL_NAME: my-username/my-git-repo
                   REPO_NAME: my-git-repo
                   REVISION_ID: 525c52c501739e6df0609ed1f944c1bfd83224e7
                   SHORT_SHA: 525c52c
                   TRIGGER_BUILD_CONFIG_PATH: cloudbuild.yaml
                   TRIGGER_NAME: github-trigger-staging
               entryPoint: cloudbuild.yaml
               type: https://cloudbuild.googleapis.com/CloudBuildYaml@v0.1
           subject:
           - digest:
               sha256: 7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
             name: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image
           - digest:
               sha256: 7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
             name: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image:latest
       createTime: '2023-08-01T19:57:13.168653Z'
       envelope:
         payload: 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
         payloadType: application/vnd.in-toto+json
         signatures:
         - keyid: projects/verified-builder/locations/global/keyRings/attestor/cryptoKeys/provenanceSigner/cryptoKeyVersions/1
           sig: MEUCIQDsD7nX7YgnKrhgiNZXWuvSf_1AG8DgGDUAlZnjT_SB1AIgTBHZPCjTTPk3lQPAccL6WNg457QHufk9T9YB1FW5xbQ=
         - keyid: projects/argo-qa/locations/us-west1/keyRings/attestor/cryptoKeys/builtByGCB/cryptoKeyVersions/1
           sig: MEUCIQDnQmgbIcCkbDZy91HicY-IkcuV5bV_Zo0D1Y_rmsAMyQIga17tv0c_KAW3Uhv8mM2SZwY8D3YuP6TUy7QXDs2cmpA=
       kind: BUILD
       name: projects/my-project/occurrences/8b5dcf9d-4076-4b85-a934-adfb91042088
       noteName: projects/argo-qa/notes/intoto_e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
       resourceUri: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image@sha256:7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
       updateTime: '2023-08-01T19:57:13.168653Z'
   

   Voici quelques points importants à noter dans cet exemple:

   • La compilation a été déclenchée à partir d'un dépôt GitHub. Le commit correspondant est affiché dans le champ materials.

   • Les champs digest et fileHash font référence au même objet. Le champ digest est encodé en base 16 (encodage hexadécimal) et le champ fileHash en base64.

   • Il y a deux signatures sur le champ envelope. La première signature portant le nom de clé provenanceSigner utilise une signature conforme au DSSE (formatée avec l'encodage de pré-authentification (PAE)), qui peut être vérifiée dans les stratégies d'autorisation binaire. Nous vous recommandons d'utiliser cette signature pour de nouvelles utilisations de cette preuve. La deuxième signature portant le nom de clé builtByGCB est fournie pour l'ancienne utilisation.

   • Les signatures incluses automatiquement dans la preuve Cloud Build vous aident à vérifier le service de compilation qui a exécuté une compilation. Vous pouvez également configurer Cloud Build pour enregistrer des métadonnées vérifiables concernant le compte de service utilisé pour lancer une compilation. Pour en savoir plus, consultez Signer des images de conteneur avec cosign.

Afficher la provenance des compilations pour les pools régionaux

Cloud Build ne génère pas de métadonnées de provenance pour les builds d'un pool régional, que vous utilisiez un pool privé ou un pool par défaut auquel une région est attribuée. Vous pouvez activer les métadonnées de provenance pour les builds régionaux en ajoutant une option à votre fichier de compilation. Pour en savoir plus sur les régions, consultez la page Emplacements Cloud Build.

Afficher la provenance des artefacts non issus de conteneurs

Cloud Build génère les métadonnées de provenance Niveaux de la chaîne d'approvisionnement pour les artefacts logiciels (SLSA) pour les applications Java (Maven), Python et Node.js (npm) autonomes lorsque vous importez vos artefacts de compilation dans Artifact Registry.

1. Pour générer les métadonnées de provenance de vos artefacts, exécutez une compilation avec Cloud Build:

   • Créer des applications Java
   • Créer des applications Python
   • Créer des applications Node.js

   Une fois la compilation terminée, notez l'élément BuildID.

2. Exécutez l'appel d'API suivant dans votre terminal, où PROJECT_ID est l'ID associé à votre projet Google Cloud:

   alias gcurl='curl -H"Authorization: Bearer $(gcloud auth print-access-token)"'
       gcurl 'https://containeranalysis.googleapis.com/v1/projects/PROJECT_ID/occurrences'
   

   Dans les occurrences de votre projet, effectuez une recherche par BuildID pour trouver les informations de provenance associées à chaque artefact de compilation.

Valider la provenance

Cette section explique comment valider la provenance de la compilation.

La validation de la provenance de la compilation vous aide à:

• Vérifier que les artefacts de compilation sont générés à partir de sources et de compilateurs fiables
• Assurez-vous que les métadonnées de provenance décrivant votre processus de compilation sont complètes et authentiques

Pour en savoir plus, consultez la section Protéger les builds.

Valider la provenance à l'aide de l'outil de vérification SLSA

L'outil de vérification SLSA est un outil CLI Open Source qui permet de valider l'intégrité d'une compilation en fonction des spécifications SLSA.

Si l'outil de vérification détecte des problèmes, il renvoie des messages d'erreur détaillés pour vous aider à mettre à jour votre processus de compilation et à atténuer les risques.

Pour utiliser l'outil de vérification SLSA, procédez comme suit:

1. Installez la version 2.1 ou une version ultérieure à partir du dépôt slsa-verifier:

   go install github.com/slsa-framework/slsa-verifier/v2/cli/slsa-verifier@VERSION
   

2. Dans votre CLI, définissez une variable pour l'identifiant de votre image:

   export IMAGE=LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH
   

   Remplacez les valeurs d'espace réservé dans la commande par les éléments suivants :

   • LOCATION : emplacement régional ou multirégional.
   • PROJECT_ID : ID de projet Google Cloud.
   • REPOSITORY : nom du dépôt.
   • IMAGE: nom de l'image.
   • HASH : valeur de hachage sha256 de l'image. Vous pouvez le trouver dans la sortie de votre build.

3. Autorisez la gcloud CLI pour que l'outil de vérification SLSA puisse accéder à vos données de provenance:

   gcloud auth configure-docker LOCATION-docker.pkg.dev
   

4. Récupérez la provenance de votre image et stockez-la en tant que JSON:

   gcloud artifacts docker images describe $IMAGE --format json --show-provenance > provenance.json
   

5. Vérifiez la provenance:

   slsa-verifier verify-image "$IMAGE" \
   --provenance-path provenance.json \
   --source-uri SOURCE \
   --builder-id=BUILDER_ID
   

   Où :

   • SOURCE est l'URI du dépôt source pour votre image, par exemple github.com/username/my-application.

     Si vous vérifiez une compilation qui n'a pas été produite par un déclencheur Git, la source semble différente. Par exemple, lorsque vous travaillez sur le code source localement, gcloud builds submit importe votre source dans Cloud Storage. Vos informations sources Cloud Storage se présentent alors comme suit : gs://myrepo/source/1665165300.279777-955d1904741e4bbeb3461080299e929a.tgz#1665165361152799.

   • BUILDER_ID est l'ID unique du compilateur, par exemple https://cloudbuild.googleapis.com/GoogleHostedWorker.

   Si vous souhaitez imprimer la provenance validée pour l'utiliser dans un moteur de règles, exécutez la commande précédente avec l'option --print-provenance.

   Le résultat ressemble à ce qui suit: PASSED: Verified SLSA provenance ou FAILED: SLSA verification failed: <error details>.

Pour en savoir plus sur les indicateurs facultatifs, consultez la section Options.

Valider les métadonnées de provenance à l'aide de la gcloud CLI

Si vous souhaitez vérifier que les métadonnées de provenance de la compilation n'ont pas été altérées, vous pouvez valider la provenance en procédant comme suit:

1. Créez un répertoire, puis accédez-y.

   mkdir provenance && cd provenance
   

2. À l'aide des informations du champ keyid, obtenez la clé publique.

   gcloud kms keys versions get-public-key 1 --location global --keyring attestor \
   --key builtByGCB --project verified-builder --output-file my-key.pub
   

3. payload contient la représentation JSON de la provenance, encodée en base64url. Décodez les données et les stockez-les dans un fichier.

   gcloud artifacts docker images describe \
   LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH --show-provenance \
   --format=json | jq -r '.provenance_summary.provenance[] | select(.build.intotoStatement.predicateType == "https://slsa.dev/provenance/v0.1") | .envelope.payload' | tr '\-_' '+/' | base64 -d > provenance.json
   

   Preview

   Ce produit ou cette fonctionnalité est soumis aux "Conditions des offres de pré-DG" dans la section "Conditions d'utilisation générales" des Conditions spécifiques au service. Les produits et fonctionnalités pré-DG sont disponibles "en l'état" et peuvent bénéficier d'une assistance limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

   Les types de provenance SLSA 0.1 et 1.0 sont stockés lorsqu'ils sont disponibles. Si vous souhaitez filtrer sur la version 1.0, modifiez predicateType pour utiliser https://slsa.dev/provenance/v1. Exemple :

   gcloud artifacts docker images describe \
   LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH --show-provenance \
   --format=json | jq -r '.provenance_summary.provenance[] | select(.build.intotoStatement.predicateType == "https://slsa.dev/provenance/v1") | .envelope.payload' | tr '\-_' '+/' | base64 -d > provenance.json
   

4. L'enveloppe contient également la signature sur la provenance. Décodez les données et stockez-les dans un fichier.

   gcloud artifacts docker images describe LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH --show-provenance \
   --format=json | '.provenance_summary.provenance[] | select(.build.intotoStatement.predicateType == "https://slsa.dev/provenance/v0.1") | .envelope.signatures[0].sig' | tr '\-_' '+/' | base64 -d > signature.bin
   

   Si vous souhaitez filtrer sur la version 1.0, modifiez predicateType pour utiliser https://slsa.dev/provenance/v1. Exemple :

   gcloud artifacts docker images describe LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH --show-provenance \
   --format=json | jq -r '.provenance_summary.provenance[] | select(.build.intotoStatement.predicateType == "https://slsa.dev/provenance/v1") | .envelope.signatures[0].sig' | tr '\-_' '+/' | base64 -d > signature.bin
   

5. La commande ci-dessus fait référence à la première signature de provenance (.provenance_summary.provenance[0].envelope.signatures[0]), qui est signée par la clé provenanceSigner. La charge utile est signée sur l'enveloppe au format PAI. Afin de le vérifier, exécutez cette commande pour transformer la provenance au format PAE attendu de "DSSEv1" + SP + LEN(type) + SP + type + SP + LEN(body) + SP + body.

   Remarque :Si vous vérifiez la deuxième signature (.provenance_summary.provenance[0].envelope.signatures[1].sig avec le nom de clé builtByGCB), ignorez cette étape et vérifiez le fichier provenance.json que vous avez déjà stocké.

   echo -n "DSSEv1 28 application/vnd.in-toto+json $(cat provenance.json | wc -c) $(cat provenance.json)" > provenance.json
   

6. Validez la signature.

   openssl dgst -sha256 -verify my-key.pub -signature signature.bin provenance.json
   

   Après une validation réussie, le résultat est Verified OK.

Exiger que vos images soient associées à des métadonnées de provenance

Par défaut, si Cloud Build ne génère pas de métadonnées de provenance, la compilation est quand même terminée. Pour écraser ce comportement et échouer les compilations si Cloud Build ne génère pas de métadonnées de provenance pour votre image, ajoutez l'option requestedVerifyOption: VERIFIED à votre fichier de configuration de compilation.

steps:
- name: 'gcr.io/cloud-builders/docker'
  args: [ 'build', '-t', 'us-central1-docker.pkg.dev/$PROJECT_ID/quickstart-docker-repo/quickstart-image:tag1', '.' ]
images:
- 'us-central1-docker.pkg.dev/$PROJECT_ID/quickstart-docker-repo/quickstart-image:tag1'
options:
  requestedVerifyOption: VERIFIED

Après avoir ajouté requestedVerifyOption, Cloud Build ne marque la compilation comme réussie que si elle peut générer les métadonnées de provenance correspondantes. Cela affecte également les images créées dans un pool régional, ce qui permet de générer des métadonnées de preuve et des attestations pour ces images.

Étapes suivantes

• Configurer Cloud Build pour suivre qui lance une compilation
• Utiliser l'analyse des failles dans votre pipeline Cloud Build
• En savoir plus sur Software Delivery Shield