云原生容器镜像签名怎么设置

云原生容器镜像签名可以通过使用Notary、Cosign、TUF来设置，Notary是Docker推出的开源工具，Cosign是由sigstore项目提供的签名工具，TUF是一个通用的安全更新框架。这些工具通过生成数字签名来验证和保护容器镜像的完整性和来源。Cosign是目前较为流行的选择，它可以与CI/CD管道无缝集成，并支持多种签名和验证方法。Cosign的一个显著特点是它简化了签名过程，用户只需执行几条命令就可以完成镜像的签名和验证，极大地提升了操作的便捷性和安全性。

一、NOTARY的使用

Notary是Docker推出的一个开源工具，用于保障容器镜像的安全性。它通过生成并验证数字签名来确保镜像的完整性和来源。Notary主要依赖于TUF（The Update Framework），提供了一套完善的安全更新机制。

1.1 安装Notary

Notary的安装非常简单，只需下载对应平台的二进制文件，然后将其添加到系统的路径中。具体步骤如下：

# 下载Notary二进制文件 curl -L https://github.com/theupdateframework/notary/releases/download/v0.6.1/notary-Linux-amd64 -o /usr/local/bin/notary 添加执行权限 chmod +x /usr/local/bin/notary

1.2 配置Notary客户端

配置Notary客户端需要生成一个配置文件，通常位于~/.notary/config.json。该文件包含Notary服务器的地址和其他配置信息。示例如下：

{
    "trust_dir": "~/.notary",
    "remote_server": {
        "url": "https://notary-server:4443",
        "root_ca": "/path/to/root-ca.crt"
    }
}

1.3 使用Notary签名镜像

签名镜像需要先登录到Docker Registry，然后使用Notary命令进行签名。具体步骤如下：

# 登录到Docker Registry docker login registry.example.com 签名镜像 notary init registry.example.com/my-repo 推送签名 notary publish registry.example.com/my-repo

1.4 验证镜像签名

验证镜像签名可以使用Notary的list命令来查看签名信息：

notary list registry.example.com/my-repo

二、COSIGN的使用

Cosign是由sigstore项目提供的一个轻量级的容器镜像签名工具。它简化了签名过程，并且支持与CI/CD管道集成。

2.1 安装Cosign

Cosign可以通过多种方式安装，包括Homebrew、APT和直接下载二进制文件。以下是通过Homebrew安装的示例：

brew install sigstore/tap/cosign

2.2 生成密钥对

Cosign使用一对公私钥来进行签名和验证。可以使用以下命令生成密钥对：

cosign generate-key-pair

生成的密钥对将被保存为cosign.key和cosign.pub两个文件，分别代表私钥和公钥。

2.3 使用Cosign签名镜像

签名镜像只需一条命令，指定镜像名称和私钥文件：

cosign sign -key cosign.key docker.io/my-repo/my-image:latest

2.4 验证镜像签名

验证镜像签名同样非常简单，只需提供公钥文件和镜像名称：

cosign verify -key cosign.pub docker.io/my-repo/my-image:latest

三、TUF的使用

TUF是一个通用的安全更新框架，它提供了一套完善的机制来确保软件包的完整性和来源。TUF的设计非常灵活，可以应用于各种不同的更新场景，包括容器镜像的签名和验证。

3.1 安装TUF

TUF可以通过pip安装，非常方便：

pip install tuf

3.2 配置TUF

配置TUF需要生成一组密钥，并创建一个TUF仓库。以下是一个简单的示例：

from tuf.repository_tool import *
创建一个新的TUF仓库
repository = create_new_repository('repository')
生成并添加密钥
key = generate_and_write_rsa_keypair('root_key')
repository.root.add_verification_key(key)
repository.root.load_signing_key(key)
创建并签名元数据
repository.status()
repository.write()

3.3 使用TUF签名镜像

TUF签名镜像的过程稍微复杂一些，需要将镜像的元数据添加到TUF仓库中，然后生成签名。以下是一个简单的示例：

from tuf.repository_tool import *
加载现有的TUF仓库
repository = load_repository('repository')
添加镜像元数据
repository.targets.add_target('path/to/my-image.tar.gz')
签名并生成元数据
repository.targets.load_signing_key('targets_key')
repository.write()

3.4 验证镜像签名

验证镜像签名需要加载TUF仓库，并使用公钥进行验证。以下是一个简单的示例：

from tuf.client.updater import Updater
创建更新器实例
updater = Updater('my-updater', 'path/to/repository')
更新元数据
updater.refresh()
下载并验证镜像
updater.download_target('path/to/my-image.tar.gz')

四、与CI/CD管道集成

将容器镜像签名与CI/CD管道集成可以极大地提高开发和部署的安全性和效率。以下是一些常用的集成方法和示例。

4.1 与Jenkins集成

Jenkins是一个流行的CI/CD工具，可以通过插件和脚本与容器镜像签名工具集成。以下是一个使用Cosign进行签名的Jenkins Pipeline示例：

pipeline {
    agent any
    stages {
        stage('Build') {
            steps {
                sh 'docker build -t my-image:latest .'
            }
        }
        stage('Sign') {
            steps {
                sh 'cosign sign -key cosign.key my-image:latest'
            }
        }
        stage('Push') {
            steps {
                sh 'docker push my-image:latest'
            }
        }
    }
}

4.2 与GitLab CI集成

GitLab CI也是一个流行的CI/CD工具，支持通过.gitlab-ci.yml文件进行配置。以下是一个使用Cosign进行签名的GitLab CI示例：

stages: - build - sign - push build: stage: build script: - docker build -t my-image:latest . sign: stage: sign script: - cosign sign -key cosign.key my-image:latest push: stage: push script: - docker push my-image:latest

4.3 与GitHub Actions集成

GitHub Actions提供了灵活的CI/CD功能，可以通过编写工作流程文件来集成容器镜像签名工具。以下是一个使用Cosign进行签名的GitHub Actions示例：

name: CI on: push: branches: - main jobs: build: runs-on: ubuntu-latest steps: - name: Checkout code uses: actions/checkout@v2 - name: Build Docker image run: docker build -t my-image:latest . - name: Sign Docker image run: cosign sign -key cosign.key my-image:latest - name: Push Docker image run: docker push my-image:latest