Использование целостности изображений для проверки подписанных образов перед развертыванием в кластерах Службы Azure Kubernetes (AKS) (предварительная версия)

Служба Azure Kubernetes (AKS) и базовая модель контейнера обеспечивают повышенную масштабируемость и управляемость для облачных приложений. С помощью AKS можно запускать гибкие программные приложения в соответствии с потребностями среды выполнения вашей системы. Однако эта гибкость может привести к новым проблемам.

В этих средах выполнения приложений использование подписанных образов контейнеров помогает убедиться, что развертывания создаются из доверенного источника и что образы не были изменены с момента их создания. Целостность изображений — это служба, которая позволяет добавить встроенное определение политики Azure, чтобы убедиться, что только подписанные образы развертываются в кластерах AKS.

Замечание

Целостность изображений — это функция, использующая Ratify. В кластере AKS имя функции и имя свойства — ImageIntegrity, в то время как соответствующие названия pod-ов на целостность изображений содержат Ratify.

Это важно

Предварительные версии функций AKS доступны на условиях самообслуживания и добровольного выбора. Предварительные версии предоставляются "как есть" и "при наличии". На них не распространяются соглашения об уровне обслуживания и ограниченная гарантия. Предварительные версии AKS сопровождаются частичной поддержкой клиентов на основе принципа лучших усилий. Как таковые, эти функции не предназначены для использования в производстве. Для получения дополнительной информации ознакомьтесь со следующими статьями поддержки:

Предпосылки

  • Подписка Azure. Если у вас нет подписки Azure, можно создать бесплатную учетную запись.

  • Azure CLI или Azure PowerShell.

  • aks-preview Расширение CLI версии 0.5.96 или более поздней.

  • Убедитесь, что в кластере включена надстройка политики Azure для AKS. Если у вас нет этой надстройки, см. статью "Установка надстройки политики Azure для AKS".

  • Кластер AKS с включенной поддержкой издателя OIDC. Сведения о создании кластера или обновлении существующего кластера см. в статье "Настройка кластера AKS с помощью издателя OIDC".

  • EnableImageIntegrityPreview Флаги функций, зарегистрированные в вашей подписке Azure. Зарегистрируйте флаги компонентов с помощью следующих команд:

    1. Зарегистрируйте флаги функций EnableImageIntegrityPreview с помощью команды az feature register.

      # Register the EnableImageIntegrityPreview feature flag
az feature register --namespace "Microsoft.ContainerService" --name "EnableImageIntegrityPreview"

It may take a few minutes for the status to show as *Registered*.

    2. Проверьте состояние регистрации с помощью az feature show команды.

      # Verify the EnableImageIntegrityPreview feature flag registration status
az feature show --namespace "Microsoft.ContainerService" --name "EnableImageIntegrityPreview"

    3. После отображения состояния "Зарегистрировано" обновите регистрацию Microsoft.ContainerService поставщика ресурсов с помощью az provider register команды.

      az provider register --namespace Microsoft.ContainerService

Соображения и ограничения

  • Кластеры AKS должны запускать Kubernetes версии 1.26 или более поздней.
  • Эту функцию не следует использовать для рабочих реестров или рабочих нагрузок реестра контейнеров Azure (ACR).
  • Целостность изображений поддерживает не более 200 уникальных подписей одновременно на уровне кластера.
  • Нотация является единственным поддерживаемым проверятелем.
  • Аудит является единственным поддерживаемым эффектом политики проверки.

Принцип работы целостности изображений

Снимок экрана: базовая архитектура для целостности изображений.

"Целостность изображений использует Ratify, Политику Azure и Gatekeeper для проверки подписанных образов перед их развертыванием в кластерах AKS." Включение проверки целостности образа на вашем кластере разворачивает pod Ratify. Этот Ratify модуль выполняет следующие задачи:

  1. Синхронизирует сертификаты из Azure Key Vault в соответствии с конфигурацией, установленной с помощью Ratify CRD.
  2. Обращается к изображениям, хранящимся в ACR, когда запросы проверки приходят из политики Azure. Чтобы включить этот функционал, Политика Azure расширяет Gatekeeper, веб-перехватчик контроллера допуска для агента Open Policy (OPA).
  3. Определяет, подписан ли целевой образ доверенным сертификатом и поэтому считается доверенным.
  4. AzurePolicy и Gatekeeper используют результаты проверки в качестве состояния соответствия для принятия решения о разрешении запроса на развертывание.

Включение целостности изображений в кластере AKS

Замечание

Проверка подписи изображений — это сценарий, ориентированный на управление, который использует Политика Azure для проверки подписей образов в кластерах AKS в крупном масштабе. Мы рекомендуем использовать встроенную инициативу политики Azure для проверки целостности изображений AKS, доступную в встроенной библиотеке определений политики Azure.

  • Создайте назначение политики с помощью политической инициативы AKS [Preview]: Use Image Integrity to ensure only trusted images are deployed с помощью команды az policy assignment create.

    export SCOPE="/subscriptions/${SUBSCRIPTION}/resourceGroups/${RESOURCE_GROUP}"
export LOCATION=$(az group show --name ${RESOURCE_GROUP} --query location -o tsv)

az policy assignment create --name 'deploy-trustedimages' --policy-set-definition 'af28bf8b-c669-4dd3-9137-1e68fdc61bd6' --display-name 'Audit deployment with unsigned container images' --scope ${SCOPE} --mi-system-assigned --role Contributor --identity-scope ${SCOPE} --location ${LOCATION}

    Модуль Ratify pod развертывается после включения функции.

Замечание

Политика развертывает функцию целостности образов в кластере при обнаружении любой операции обновления в кластере. Если вы хотите включить функцию немедленно, необходимо создать исправление az policy remediation create политики с помощью команды.

assignment_id=$(az policy assignment show --name 'deploy-trustedimages' --scope ${SCOPE} --query id -o tsv)
az policy remediation create --policy-assignment "$assignment_id" --definition-reference-id deployAKSImageIntegrity --name remediation --resource-group ${RESOURCE_GROUP}

Настройка конфигураций проверки

Для правильной проверки целостности изображений целевого подписанного образа необходимо настроить Ratify конфигурации с помощью K8s kubectl.

В этой статье мы используем самоподписанный сертификат ЦС из официальной документации Ratify для настройки конфигураций проверки. Дополнительные примеры см. в разделе "Ратифицируемые CRD".

  1. VerifyConfig Создайте файл с именем verify-config.yaml и скопируйте его в следующем YAML:

    apiVersion: config.ratify.deislabs.io/v1beta1
kind: KeyManagementProvider
metadata:
  name: certstore-inline
spec:
  provider: inline
  parameters:
    value: |
      -----BEGIN CERTIFICATE-----
      MIIDQzCCAiugAwIBAgIUDxHQ9JxxmnrLWTA5rAtIZCzY8mMwDQYJKoZIhvcNAQEL
      BQAwKTEPMA0GA1UECgwGUmF0aWZ5MRYwFAYDVQQDDA1SYXRpZnkgU2FtcGxlMB4X
      DTIzMDYyOTA1MjgzMloXDTMzMDYyNjA1MjgzMlowKTEPMA0GA1UECgwGUmF0aWZ5
      MRYwFAYDVQQDDA1SYXRpZnkgU2FtcGxlMIIBIjANBgkqhkiG9w0BAQEFAAOCAQ8A
      MIIBCgKCAQEAshmsL2VM9ojhgTVUUuEsZro9jfI27VKZJ4naWSHJihmOki7IoZS8
      3/3ATpkE1lGbduJ77M9UxQbEW1PnESB0bWtMQtjIbser3mFCn15yz4nBXiTIu/K4
      FYv6HVdc6/cds3jgfEFNw/8RVMBUGNUiSEWa1lV1zDM2v/8GekUr6SNvMyqtY8oo
      ItwxfUvlhgMNlLgd96mVnnPVLmPkCmXFN9iBMhSce6sn6P9oDIB+pr1ZpE4F5bwa
      gRBg2tWN3Tz9H/z2a51Xbn7hCT5OLBRlkorHJl2HKKRoXz1hBgR8xOL+zRySH9Qo
      3yx6WvluYDNfVbCREzKJf9fFiQeVe0EJOwIDAQABo2MwYTAdBgNVHQ4EFgQUKzci
      EKCDwPBn4I1YZ+sDdnxEir4wHwYDVR0jBBgwFoAUKzciEKCDwPBn4I1YZ+sDdnxE
      ir4wDwYDVR0TAQH/BAUwAwEB/zAOBgNVHQ8BAf8EBAMCAgQwDQYJKoZIhvcNAQEL
      BQADggEBAGh6duwc1MvV+PUYvIkDfgj158KtYX+bv4PmcV/aemQUoArqM1ECYFjt
      BlBVmTRJA0lijU5I0oZje80zW7P8M8pra0BM6x3cPnh/oZGrsuMizd4h5b5TnwuJ
      hRvKFFUVeHn9kORbyQwRQ5SpL8cRGyYp+T6ncEmo0jdIOM5dgfdhwHgb+i3TejcF
      90sUs65zovUjv1wa11SqOdu12cCj/MYp+H8j2lpaLL2t0cbFJlBY6DNJgxr5qync
      cz8gbXrZmNbzC7W5QK5J7fcx6tlffOpt5cm427f9NiK2tira50HU7gC3HJkbiSTp
      Xw10iXXMZzSbQ0/Hj2BF4B40WfAkgRg=
      -----END CERTIFICATE-----
---
apiVersion: config.ratify.deislabs.io/v1beta1
kind: Store
metadata:
  name: store-oras
spec:
  name: oras
# If you want to you use Workload Identity for Ratify to access Azure Container Registry,
# uncomment the following lines, and fill the proper ClientID:
# See more: https://ratify.dev/docs/reference/oras-auth-provider
# parameters:
#  authProvider:
#    name: azureWorkloadIdentity
#    clientID: XXX
---
apiVersion: config.ratify.deislabs.io/v1beta1
kind: Verifier
metadata:
  name: verifier-notary-inline
spec:
  name: notation
  artifactTypes: application/vnd.cncf.notary.signature
  parameters:
    verificationCertStores:  # certificates for validating signatures
      certs: # name of the trustStore
        - certstore-inline # name of the certificate store CRD to include in this trustStore
    trustPolicyDoc: # policy language that indicates which identities are trusted to produce artifacts
      version: "1.0"
      trustPolicies:
        - name: default
          registryScopes:
            - "*"
          signatureVerification:
            level: strict
          trustStores:
            - ca:certs
          trustedIdentities:
            - "*"

  2. Примените VerifyConfig к вашему кластеру с помощью команды kubectl apply.

    kubectl apply -f verify-config.yaml

Разверните тестовые образы в кластере AKS

  • Разверните подписанный образ с помощью kubectl run demo команды.

    kubectl run demo-signed --image=ghcr.io/deislabs/ratify/notary-image:signed

    В следующем примере выходных данных показано, что целостность изображения позволяет развертывание.

    ghcr.io/deislabs/ratify/notary-image:signed
pod/demo-signed created

Если вы хотите использовать собственные изображения, ознакомьтесь с рекомендациями по подписи изображений.

Отключение целостности изображений

Удаление политической инициативы

  • Сначала следует удалить инициативу политики с помощью az policy assignment delete команды.

    az policy assignment delete --name 'deploy-trustedimages'

Диабло-дополнение

  • Затем отключите расширение для проверки целостности изображений в вашем кластере, используя команду az aks update с флагом --disable-image-integrity.

    az aks update --resource-group myResourceGroup --name MyManagedCluster --disable-image-integrity

Дальнейшие шаги

В этой статье вы узнали, как использовать целостность изображений для проверки подписанных образов перед развертыванием в кластерах Службы Azure Kubernetes (AKS). Если вы хотите узнать, как подписывать собственные контейнеры, см. статью "Сборка, подпись и проверка образов контейнеров" с помощью Нотари и Azure Key Vault (предварительная версия).

  • Last updated on