Visualizza provenienza della build

Questa pagina fornisce istruzioni su come visualizzare e controllare i metadati di provenienza delle build generati da Cloud Build.

La provenienza della build è una raccolta di dati verificabili relativi a una build eseguita da Cloud Build. I metadati di provenienza includono dettagli come i digest delle immagini create, le località delle origini di input, gli argomenti della build e la durata della build.

Cloud Build supporta la generazione della provenienza della build che soddisfa la garanzia di livello Supply-chain Levels for Software Artifacts (SLSA) 3 in base alle specifiche della versione 0.1 di SLSA. Il supporto per SLSA versione 1.0 è ora disponibile in anteprima.

Nell'ambito del supporto della specifica SLSA v1.0, Cloud Build fornisce dettagli buildType. Puoi usare lo schema buildType per comprendere il modello parametrizzato usato per il processo di compilazione. Per ulteriori informazioni, consulta Cloud Build buildType v1.

Prima di iniziare

  1. Enable the Cloud Build, Artifact Analysis, and Artifact Registry APIs.

    Enable the APIs

  2. Per utilizzare gli esempi di riga di comando riportati in questa guida, installa e configura Google Cloud SDK.

Questa funzionalità funziona solo con le immagini container archiviate in Artifact Registry.

Visualizza provenienza della build

Questa sezione spiega come visualizzare i metadati di provenienza della build creati da Cloud Build.

Quando crei un'immagine con Cloud Build, la prova di build dell'immagine viene registrata automaticamente. In seguito, puoi recuperare queste informazioni ai fini del controllo.

Visualizza la provenienza nella console Google Cloud

Puoi visualizzare la provenienza delle build nel riquadro laterale Approfondimenti sulla sicurezza all'interno della console Google Cloud.

Il riquadro laterale Insight sulla sicurezza offre una panoramica generale delle informazioni sulla sicurezza per gli artefatti archiviati in Artifact Registry. Per saperne di più sul riquadro laterale e su come utilizzare Cloud Build per proteggere la catena di fornitura del software, vedi Visualizzare gli insight sulla sicurezza delle build.

Visualizza la provenienza utilizzando Google Cloud CLI

  1. Per generare i metadati di provenienza, esegui una build con Cloud Build.

    Esegui il push dell'immagine creata utilizzando il campo images anziché un passaggio della build docker push. Cloud Build genera solo attestations per le immagini inviate tramite il campo images.

  2. Per visualizzare i metadati di provenienza generati, esegui questo comando:

    gcloud artifacts docker images describe \
LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH \
--show-provenance

    Sostituisci i valori segnaposto nel comando con quanto segue:

    • LOCATION: località a livello di una o più regioni.
    • PROJECT_ID: ID progetto Google Cloud.
    • REPOSITORY: nome del repository.
    • IMAGE: nome dell'immagine.
    • HASH: il valore hash sha256 dell'immagine. Puoi trovarlo nell'output della build.

    L'output è la provenienza del container, come descritto nella specifica di provenienza SLSA. Ad esempio:

      image_summary:
  digest: sha256:7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
  fully_qualified_digest: us-central1-docker.pkg.dev/my-project/my-repo/my-image@sha256:7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
  registry: us-central1-docker.pkg.dev
  repository: my-repo
  slsa_build_level: 0
provenance_summary:
  provenance:
  - build:
      inTotoSlsaProvenanceV1:
        _type: https://in-toto.io/Statement/v1
        predicate:
          buildDefinition:
            buildType: https://cloud.google.com/build/gcb-buildtypes/google-worker/v1
            externalParameters:
              buildConfigSource:
                path: cloudbuild.yaml
                ref: refs/heads/main
                repository: git+https://github.com/my-username/my-git-repo
              substitutions: {}
            internalParameters:
              systemSubstitutions:
                BRANCH_NAME: main
                BUILD_ID: e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
                COMMIT_SHA: 525c52c501739e6df0609ed1f944c1bfd83224e7
                LOCATION: us-west1
                PROJECT_NUMBER: '265426041527'
                REF_NAME: main
                REPO_FULL_NAME: my-username/my-git-repo
                REPO_NAME: my-git-repo
                REVISION_ID: 525c52c501739e6df0609ed1f944c1bfd83224e7
                SHORT_SHA: 525c52c
                TRIGGER_BUILD_CONFIG_PATH: cloudbuild.yaml
                TRIGGER_NAME: github-trigger-staging
              triggerUri: projects/265426041527/locations/us-west1/triggers/a0d239a4-635e-4bd3-982b-d8b72d0b4bab
            resolvedDependencies:
            - digest:
                gitCommit: 525c52c501739e6df0609ed1f944c1bfd83224e7
              uri: git+https://github.com/my-username/my-git-repo@refs/heads/main
            - digest:
                sha256: 154fcd4d2d65c6a35b06b98053a0829c581e223d530be5719326f5d85d680e8d
              uri: gcr.io/cloud-builders/docker@sha256:154fcd4d2d65c6a35b06b98053a0829c581e223d530be5719326f5d85d680e8d
          runDetails:
            builder:
              id: https://cloudbuild.googleapis.com/GoogleHostedWorker
            byproducts:
            - {}
            metadata:
              finishedOn: '2023-08-01T19:57:10.734471Z'
              invocationId: https://cloudbuild.googleapis.com/v1/projects/my-project/locations/us-west1/builds/e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
              startedOn: '2023-08-01T19:56:57.451553160Z'
        predicateType: https://slsa.dev/provenance/v1
        subject:
        - digest:
            sha256: 7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
          name: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image
        - digest:
            sha256: 7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
          name: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image:latest
    createTime: '2023-08-01T19:57:14.810489Z'
    envelope:
      payload: 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
      payloadType: application/vnd.in-toto+json
      signatures:
      - keyid: projects/verified-builder/locations/global/keyRings/attestor/cryptoKeys/google-hosted-worker/cryptoKeyVersions/1
        sig: MEUCIQCss8UlQL2feFePRJuKTE8VA73f85iqj4OJ9SvVPqTNwAIgYyuyuIrl1PxQC5B109thO24Y6NA4bTa0PJY34EHRSVE=
    kind: BUILD
    name: projects/my-project/occurrences/71787589-c6a6-4d6a-a030-9fd041e40468
    noteName: projects/argo-qa/notes/intoto_slsa_v1_e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
    resourceUri: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image@sha256:7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
    updateTime: '2023-08-01T19:57:14.810489Z'
  - build:
      intotoStatement:
        _type: https://in-toto.io/Statement/v0.1
        predicateType: https://slsa.dev/provenance/v0.1
        slsaProvenance:
          builder:
            id: https://cloudbuild.googleapis.com/GoogleHostedWorker@v0.3
          materials:
          - digest:
              sha1: 525c52c501739e6df0609ed1f944c1bfd83224e7
            uri: git+https://github.com/my-username/my-git-repo
          metadata:
            buildFinishedOn: '2023-08-01T19:57:10.734471Z'
            buildInvocationId: e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
            buildStartedOn: '2023-08-01T19:56:57.451553160Z'
          recipe:
            arguments:
              '@type': type.googleapis.com/google.devtools.cloudbuild.v1.Build
              id: e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
              name: projects/265426041527/locations/us-west1/builds/e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
              options:
                dynamicSubstitutions: true
                logging: LEGACY
                pool: {}
                requestedVerifyOption: VERIFIED
                substitutionOption: ALLOW_LOOSE
              sourceProvenance: {}
              steps:
              - args:
                - tag
                - hello-world
                - us-central1-docker.pkg.dev/my-project/my-repo/my-image
                name: gcr.io/cloud-builders/docker
                pullTiming:
                  endTime: '2023-08-01T19:57:07.231646287Z'
                  startTime: '2023-08-01T19:57:07.225609188Z'
                status: SUCCESS
                timing:
                  endTime: '2023-08-01T19:57:08.343864907Z'
                  startTime: '2023-08-01T19:57:07.225609188Z'
              substitutions:
                BRANCH_NAME: main
                COMMIT_SHA: 525c52c501739e6df0609ed1f944c1bfd83224e7
                REF_NAME: main
                REPO_FULL_NAME: my-username/my-git-repo
                REPO_NAME: my-git-repo
                REVISION_ID: 525c52c501739e6df0609ed1f944c1bfd83224e7
                SHORT_SHA: 525c52c
                TRIGGER_BUILD_CONFIG_PATH: cloudbuild.yaml
                TRIGGER_NAME: github-trigger-staging
            entryPoint: cloudbuild.yaml
            type: https://cloudbuild.googleapis.com/CloudBuildYaml@v0.1
        subject:
        - digest:
            sha256: 7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
          name: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image
        - digest:
            sha256: 7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
          name: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image:latest
    createTime: '2023-08-01T19:57:13.168653Z'
    envelope:
      payload: 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
      payloadType: application/vnd.in-toto+json
      signatures:
      - keyid: projects/verified-builder/locations/global/keyRings/attestor/cryptoKeys/provenanceSigner/cryptoKeyVersions/1
        sig: MEUCIQDsD7nX7YgnKrhgiNZXWuvSf_1AG8DgGDUAlZnjT_SB1AIgTBHZPCjTTPk3lQPAccL6WNg457QHufk9T9YB1FW5xbQ=
      - keyid: projects/argo-qa/locations/us-west1/keyRings/attestor/cryptoKeys/builtByGCB/cryptoKeyVersions/1
        sig: MEUCIQDnQmgbIcCkbDZy91HicY-IkcuV5bV_Zo0D1Y_rmsAMyQIga17tv0c_KAW3Uhv8mM2SZwY8D3YuP6TUy7QXDs2cmpA=
    kind: BUILD
    name: projects/my-project/occurrences/8b5dcf9d-4076-4b85-a934-adfb91042088
    noteName: projects/argo-qa/notes/intoto_e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
    resourceUri: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image@sha256:7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
    updateTime: '2023-08-01T19:57:13.168653Z'

    Alcuni aspetti importanti da notare in questo esempio:

    • La build è stata attivata da un repository GitHub. Puoi visualizzare il commit corrispondente nel campo materials.

    • I campi digest e fileHash fanno riferimento allo stesso oggetto. Il campo digest è codificato in base 16 (con codifica esadecimale) e il campo fileHash in base 64.

    • Ci sono due firme nel campo envelope. La prima firma con il nome della chiave provenanceSigner utilizza una firma conforme a DSSE (formattata con la codifica di pre-autenticazione (PAE), che può essere verificata nei criteri di Autorizzazione binaria. Ti consigliamo di utilizzare questa firma nei nuovi utilizzi di questa provenienza. La seconda firma con il nome della chiave builtByGCB viene fornita per l'utilizzo precedente.

    • Le firme incluse automaticamente nella prova di Cloud Build ti aiutano a verificare il servizio di build che ha eseguito una build. Puoi anche configurare Cloud Build in modo da registrare metadati verificabili relativi all'account di servizio utilizzato per avviare una build. Per ulteriori informazioni, consulta la pagina relativa alla firma delle immagini container con cosign.

Visualizza la provenienza della build per i pool regionali

Cloud Build non genera metadati di provenienza per le build nel pool a livello di regione, che tu stia utilizzando un pool privato o un pool predefinito con una regione assegnata. Puoi abilitare i metadati di provenienza per le build a livello di regione aggiungendo un'opzione al file di build. Per ulteriori informazioni sulle regioni, consulta Località di Cloud Build.

Visualizza la provenienza degli artefatti non container

Cloud Build genera metadati di provenienza Supply chain Levels for Software Artifacts (SLSA) per applicazioni Java (Maven), Python e Node.js (npm) autonome quando carichi gli artefatti della build in Artifact Registry.

  1. Per generare i metadati di provenienza per gli artefatti, esegui una build con Cloud Build:

    Al termine della build, prendi nota del BuildID.

  2. Esegui la seguente chiamata API nel terminale, dove PROJECT_ID è l'ID associato al tuo progetto Google Cloud:

    alias gcurl='curl -H"Authorization: Bearer $(gcloud auth print-access-token)"'
    gcurl 'https://containeranalysis.googleapis.com/v1/projects/PROJECT_ID/occurrences'

    Nelle occorrenze del progetto, cerca in base a BuildID per trovare le informazioni di provenienza associate a ogni artefatto build.

Convalida la provenienza

Questa sezione spiega come convalidare la provenienza della build.

La convalida della provenienza della build ti consente di:

  • conferma che gli artefatti della build vengono generati da origini e builder attendibili
  • Assicurati che i metadati della provenienza che descrivono il processo di compilazione siano completi e autentici

Per ulteriori informazioni, consulta la pagina Salvaguardia delle build.

Convalida la provenienza utilizzando lo strumento di verifica SLSA

Lo strumento di verifica SLSA è uno strumento dell'interfaccia a riga di comando open source per la convalida dell'integrità della build in base alle specifiche di SLSA.

Se lo strumento di verifica rileva problemi, restituisce messaggi di errore dettagliati per aiutarti ad aggiornare il processo di compilazione e mitigare i rischi.

Per utilizzare lo strumento di verifica SLSA:

  1. Installa la versione 2.1 o successive dal repository slsa-verifier:

    go install github.com/slsa-framework/slsa-verifier/v2/cli/slsa-verifier@VERSION

  2. Nell'interfaccia a riga di comando, imposta una variabile per l'identificatore dell'immagine:

    export IMAGE=LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH

    Sostituisci i valori segnaposto nel comando con quanto segue:

    • LOCATION: località a livello di una o più regioni.
    • PROJECT_ID: ID progetto Google Cloud.
    • REPOSITORY: nome del repository.
    • IMAGE: nome dell'immagine.
    • HASH: il valore hash sha256 dell'immagine. Puoi trovarlo nell'output della build.

  3. Autorizza gcloud CLI in modo che lo strumento di verifica SLSA possa accedere ai dati di provenienza:

    gcloud auth configure-docker LOCATION-docker.pkg.dev

  4. Recupera la provenienza dell'immagine e memorizzala come JSON:

    gcloud artifacts docker images describe $IMAGE --format json --show-provenance > provenance.json

  5. Verifica la provenienza:

    slsa-verifier verify-image "$IMAGE" \
--provenance-path provenance.json \
--source-uri SOURCE \
--builder-id=BUILDER_ID

    Dove:

    • SOURCE è l'URI del repository di origine per l'immagine, ad esempio github.com/username/my-application.

      Se stai verificando una build che non è stata prodotta da un trigger Git, l'origine ha un aspetto diverso. Ad esempio, quando lavori sul codice sorgente in locale, gcloud builds submit carica l'origine in Cloud Storage. Le informazioni sull'origine Cloud Storage saranno simili a gs://myrepo/source/1665165300.279777-955d1904741e4bbeb3461080299e929a.tgz#1665165361152799.

    • BUILDER_ID l'ID univoco dello strumento per la creazione, ad esempio https://cloudbuild.googleapis.com/GoogleHostedWorker

    Se vuoi stampare la provenienza convalidata per l'utilizzo in un motore dei criteri, utilizza il comando precedente con il flag --print-provenance.

    L'output è simile al seguente: PASSED: Verified SLSA provenance o FAILED: SLSA verification failed: <error details>.

Per ulteriori informazioni sui flag facoltativi, consulta le opzioni.

Convalida i metadati di provenienza con gcloud CLI

Se vuoi verificare che i metadati della provenienza della build non siano stati manomessi, puoi convalidare la provenienza svolgendo i seguenti passaggi:

  1. Crea una nuova directory e vai a quella directory.

    mkdir provenance && cd provenance

  2. Utilizzando le informazioni contenute nel campo keyid, recupera la chiave pubblica.

    gcloud kms keys versions get-public-key 1 --location global --keyring attestor \
--key builtByGCB --project verified-builder --output-file my-key.pub

  3. payload contiene la rappresentazione JSON della provenienza, codificata in base64url. Decodifica i dati e archiviali in un file.

    gcloud artifacts docker images describe \
LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH --show-provenance \
--format=json | jq -r '.provenance_summary.provenance[] | select(.build.intotoStatement.predicateType == "https://slsa.dev/provenance/v0.1") | .envelope.payload' | tr '\-_' '+/' | base64 -d > provenance.json

    Entrambi i tipi di provenienza SLSA versione 0.1 e 1.0 vengono memorizzati quando disponibili. Se vuoi filtrare in base alla versione 1.0, modifica predicateType in modo da utilizzare https://slsa.dev/provenance/v1. Ad esempio:

    gcloud artifacts docker images describe \
LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH --show-provenance \
--format=json | jq -r '.provenance_summary.provenance[] | select(.build.intotoStatement.predicateType == "https://slsa.dev/provenance/v1") | .envelope.payload' | tr '\-_' '+/' | base64 -d > provenance.json

  4. La busta contiene anche la firma sulla provenienza. Decodificare i dati e archiviarli in un file.

    gcloud artifacts docker images describe LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH --show-provenance \
--format=json | '.provenance_summary.provenance[] | select(.build.intotoStatement.predicateType == "https://slsa.dev/provenance/v0.1") | .envelope.signatures[0].sig' | tr '\-_' '+/' | base64 -d > signature.bin

    Se vuoi filtrare in base alla versione 1.0, modifica il predicateType in modo da utilizzare https://slsa.dev/provenance/v1. Ad esempio:

    gcloud artifacts docker images describe LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH --show-provenance \
--format=json | jq -r '.provenance_summary.provenance[] | select(.build.intotoStatement.predicateType == "https://slsa.dev/provenance/v1") | .envelope.signatures[0].sig' | tr '\-_' '+/' | base64 -d > signature.bin

  5. Il comando riportato sopra fa riferimento alla prima firma di provenienza (.provenance_summary.provenance[0].envelope.signatures[0]) firmata dalla chiave provenanceSigner. Il payload è firmato sulla busta in formato EPA. Per verificarlo, esegui questo comando per trasformare la provenienza nel formato PAE previsto di "DSSEv1" + SP + LEN(type) + SP + type + SP + LEN(body) + SP + body.

    echo -n "DSSEv1 28 application/vnd.in-toto+json $(cat provenance.json | wc -c) $(cat provenance.json)" > provenance.json

  6. Convalida la firma.

    openssl dgst -sha256 -verify my-key.pub -signature signature.bin provenance.json

    Dopo una convalida riuscita, l'output è Verified OK.

Richiedi che alle immagini siano associati metadati di provenienza

Per impostazione predefinita, se Cloud Build non genera metadati di provenienza, la build viene comunque completata correttamente. Per sovrascrivere questo comportamento e restituire errori nelle build se Cloud Build non genera metadati di provenienza per l'immagine, aggiungi l'opzione requestedVerifyOption: VERIFIED al file di configurazione della build.

steps:
- name: 'gcr.io/cloud-builders/docker'
  args: [ 'build', '-t', 'us-central1-docker.pkg.dev/$PROJECT_ID/quickstart-docker-repo/quickstart-image:tag1', '.' ]
images:
- 'us-central1-docker.pkg.dev/$PROJECT_ID/quickstart-docker-repo/quickstart-image:tag1'
options:
  requestedVerifyOption: VERIFIED

Dopo aver aggiunto requestedVerifyOption, Cloud Build contrassegna la build come riuscita solo se è in grado di generare i metadati di provenienza corrispondenti. Questo problema interessa anche le immagini create in un pool regionale, consentendo di generare metadati di prova e generazione di attestazioni per queste immagini.

Passaggi successivi