Sigstore를 사용하여 키리스 서명 및 검증하기
Sigstore 프로젝트는 Cosign이라는 CLI를 제공하며, 이를 사용하여 GitLab CI/CD로 빌드된 컨테이너 이미지의 키리스 서명에 사용할 수 있습니다. 키리스 서명에는 개인 키를 관리, 안전하게 보관하고 회전시키는 필요성을 없애는 등 많은 이점이 있습니다. Cosign은 서명에 사용할 단명한 수명을 가진 키 쌍을 요청하고 이를 인증서 투명성 로그에 기록한 후 폐기합니다. 이 키는 사용자가 파이프라인을 실행한 GitLab 서버에서 OIDC 신원을 사용하여 얻은 토큰을 통해 생성됩니다. 이 토큰에는 CI/CD 파이프라인에서 생성되었음을 증명하는 고유한 클레임이 포함되어 있습니다. 더 알아보려면, 키리스 서명에 대한 Cosign 문서를 참조하세요.
GitLab OIDC 클레임과 Fulcio 인증서 확장 사이의 매핑에 대한 자세한 내용은 다음을 참조하세요: Mapping OIDC token claims to Fulcio OIDs.
요구 사항:
- GitLab.com을 사용해야 합니다.
- 프로젝트의 CI/CD 구성은 프로젝트에 있어야 합니다.
Cosign을 사용하여 컨테이너 이미지와 빌드 아티팩트를 서명하거나 검증하기
Cosign을 사용하여 컨테이너 이미지와 빌드 아티팩트를 서명하고 확인할 수 있습니다.
요구 사항:
-
>= 2.0.1버전의 Cosign을 사용해야 합니다.
제한 사항:
- CI/CD 구성 파일의
id_tokens부분이 빌드 및 서명되는 프로젝트에 있어야 합니다. AutoDevOps, 다른 저장소에서 포함된 CI 파일 및 하위 파이프라인은 지원되지 않습니다. 이 제한 사항의 제거 작업은 이슈 411317에서 추적되고 있습니다.
최상의 관행:
- 이미지/아티팩트를 서명하기 전에 동일한 작업에서 빌드 및 서명하여 조작되지 않도록 합니다.
- 컨테이너 이미지를 서명할 때는 태그 대신 (불변하는) 다이제스트를 서명합니다.
GitLab ID 토큰은 Cosign에서 키리스 서명에 사용될 수 있습니다. 이 토큰은 aud 클레임으로 sigstore로 설정해야 합니다. 이 토큰은 SIGSTORE_ID_TOKEN 환경 변수에 설정되면 Cosign에서 자동으로 사용할 수 있습니다.
Cosign를 설치하기 위한 자세한 내용은 Cosign 설치 문서를 참조하세요.
서명
컨테이너 이미지
Cosign.gitlab-ci.yml 템플릿을 사용하여 GitLab CI에서 컨테이너 이미지를 빌드하고 서명할 수 있습니다. 서명은 자동으로 이미지와 동일한 컨테이너 저장소에 저장됩니다.
include:
- template: Cosign.gitlab-ci.yml
컨테이너를 서명하는 데 대해 더 알아보려면 컨테이너 서명 문서를 참조하세요.
빌드 아티팩트
아래 예시는 GitLab CI에서 빌드 아티팩트를 서명하는 방법을 보여줍니다. cosign sign-blob에 의해 생성된 cosign.bundle 파일을 저장해야 합니다. 이 파일은 서명 확인에 사용됩니다.
빌드 아티팩트를 서명하는 방법에 대해 자세히 알아보려면 아티팩트 서명 문서를 참조하세요.
build_and_sign_artifact:
stage: build
image: alpine:latest
variables:
COSIGN_YES: "true"
id_tokens:
SIGSTORE_ID_TOKEN:
aud: sigstore
before_script:
- apk add --update cosign
script:
- echo "This is a build artifact" > artifact.txt
- cosign sign-blob artifact.txt --bundle cosign.bundle
artifacts:
paths:
- artifact.txt
- cosign.bundle
확인
명령줄 인수
| 이름 | 값 |
|---|---|
--certificate-identity
| Fulcio에서 발급된 서명 인증서의 SAN입니다. 이미지/아티팩트가 서명된 프로젝트의 다음 정보로 구성될 수 있습니다: GitLab 인스턴스 URL + 프로젝트 경로 + // + CI 구성 경로 + @ + ref 경로.
|
--certificate-oidc-issuer
| 이미지/아티팩트가 서명된 GitLab 인스턴스 URL입니다. 예: https://gitlab.com.
|
--bundle
|
cosign sign-blob에 의해 생성된 bundle 파일입니다. 빌드 아티팩트 확인에만 사용됩니다.
|
서명된 이미지/아티팩트를 확인하는 자세한 내용은 Cosign 확인 문서를 참조하세요.
컨테이너 이미지
아래 예시는 GitLab CI에서 서명된 컨테이너 이미지를 확인하는 방법을 보여줍니다. 명령줄 인수는 위에 설명되어 있습니다.
verify_image:
image: alpine:3.18
stage: verify
before_script:
- apk add --update cosign docker
- docker login -u "$CI_REGISTRY_USER" -p "$CI_REGISTRY_PASSWORD" $CI_REGISTRY
script:
- cosign verify "$CI_REGISTRY_IMAGE:$CI_COMMIT_SHORT_SHA" --certificate-identity "https://gitlab.com/my-group/my-project//path/to/.gitlab-ci.yml@refs/heads/main" --certificate-oidc-issuer "https://gitlab.com"
빌드 아티팩트
아래 예시는 GitLab CI에서 서명된 빌드 아티팩트를 확인하는 방법을 보여줍니다. 아티팩트를 확인하려면 아티팩트 자체와 cosign sign-blob에 의해 생성된 cosign.bundle 파일이 모두 필요합니다. 명령줄 인수는 위에 설명되어 있습니다.
verify_artifact:
stage: verify
image: alpine:latest
before_script:
- apk add --update cosign
script:
- cosign verify-blob artifact.txt --bundle cosign.bundle --certificate-identity "https://gitlab.com/my-group/my-project//path/to/.gitlab-ci.yml@refs/heads/main" --certificate-oidc-issuer "https://gitlab.com"
Sigstore 및 npm을 사용하여 키리스 출처 생성하기
Sigstore 및 npm을 GitLab CI/CD와 함께 사용하여 빌드 아티팩트를 디지털로 서명하고, 키 관리 부담을 줄일 수 있습니다.
npm provenance에 대해
npm CLI는 패키지 유지 관리자가 출처 증명을 사용자에게 제공할 수 있도록 합니다. npm CLI 출처 생성을 사용하면 사용자가 다운로드하고 사용하는 패키지가 여러분 및 해당 패키지를 빌드한 빌드 시스템의 것임을 신뢰하고 확인할 수 있습니다.
npm 패키지를 게시하는 방법에 대한 자세한 정보는 GitLab npm 패키지 레지스트리를 참조하세요.
Sigstore
Sigstore는 Fulcio, Cosign 및 Rekor와 같은 무료 오픈 소스 기술들을 결합하여 소프트웨어 공급망에 대한 공격으로부터 안전하게 만드는 데 사용할 수 있는 일련의 도구입니다. 디지털 서명, 검증 및 출처 확인을 처리하여 오픈 소스 소프트웨어를 배포하고 사용하는 데 더 안전하게 만들 수 있습니다.
관련 주제: - SLSA 출처 정의 - npm 문서 - npm 출처 RFC
GitLab CI/CD에서 출처 생성하기
이제 위에 설명된대로 Sigstore가 GitLab OIDC를 지원하므로, GitLab CI/CD 및 Sigstore와 함께 npm 출처를 생성하고 서명할 수 있습니다.
사전 요구 사항
- GitLab ID 토큰
aud를sigstore로 설정합니다. - npm 게시에
--provenance플래그를 추가합니다.
.gitlab-ci.yml 파일에 추가할 예시 내용:
image: node:latest
build:
id_tokens:
SIGSTORE_ID_TOKEN:
aud: sigstore
script:
- npm publish --provenance --access public
npm GitLab 템플릿도 이 기능을 제공하며, 예시는 템플릿 설명서에 나와 있습니다.
npm 출처 확인하기
npm CLI는 또한 최종 사용자가 패키지의 출처를 확인할 수 있는 기능도 제공합니다.
npm audit signatures
audited 1 package in 0s
1 package has a verified registry signature
출처 메타데이터 검토
Rekor 투명성 로그는 출처가 포함된 모든 패키지의 인증서 및 증명을 저장합니다. 예를 들어, 아래 예시에 대한 항목이 있습니다.
npm에 의해 생성된 출처 문서 예시:
_type: https://in-toto.io/Statement/v0.1
subject:
- name: pkg:npm/%40strongjz/strongcoin@0.0.13
digest:
sha512: >-
924a134a0fd4fe6a7c87b4687bf0ac898b9153218ce9ad75798cc27ab2cddbeff77541f3847049bd5e3dfd74cea0a83754e7686852f34b185c3621d3932bc3c8
predicateType: https://slsa.dev/provenance/v0.2
predicate:
buildType: https://github.com/npm/CLI/gitlab/v0alpha1
builder:
id: https://gitlab.com/strongjz/npm-provenance-example/-/runners/12270835
invocation:
configSource:
uri: git+https://gitlab.com/strongjz/npm-provenance-example
digest:
sha1: 6e02e901e936bfac3d4691984dff8c505410cbc3
entryPoint: deploy
parameters:
CI: 'true'
CI_API_GRAPHQL_URL: https://gitlab.com/api/graphql
CI_API_V4_URL: https://gitlab.com/api/v4
...
(중략)
...
CI_SERVER_VERSION_PATCH: '0'
CI_SERVER_VERSION_MAJOR: '16'
CI_SERVER_VERSION_MINOR: '1'
CI_SERVER_VERSION_PATCH: '0'
CI_TEMPLATE_REGISTRY_HOST: registry.gitlab.com
GITLAB_CI: 'true'
GITLAB_FEATURES: >-
elastic_search,ldap_group_sync,multiple_ldap_servers,seat_link,usage_quotas,zoekt_code_search,repository_size_limit,admin_audit_log,auditor_user,custom_file_templates,custom_project_templates,db_load_balancing,default_branch_protection_restriction_in_groups,extended_audit_events,external_authorization_service_api_management,geo,instance_level_scim,ldap_group_sync_filter,object_storage,pages_size_limit,project_aliases,password_complexity,enterprise_templates,git_abuse_rate_limit,required_ci_templates,runner_maintenance_note,runner_performance_insights,runner_upgrade_management,runner_jobs_statistics
GITLAB_USER_ID: '31705'
GITLAB_USER_LOGIN: strongjz
(중략)
metadata:
...
(중략)
...
도움말