Tekton Chains

Tekton Pipelines 中的供应链安全

入门指南

Tekton Chains 是一个 Kubernetes Custom Resource Definition (CRD) 控制器，允许您在 Tekton 中管理供应链安全。

在默认操作模式下，Chains 通过观察集群中所有 TaskRuns 和 PipelineRuns 的执行情况工作。当它们完成时，Chains 会对其进行快照。然后，Chains 将此快照转换为一种或多种标准载荷格式，进行签名并存储在某处。

当前功能包括：

• 使用用户提供的加密密钥对 TaskRun 和 PipelineRun 结果进行签名，包括 TaskRun 或 PipelineRun 本身以及 OCI 镜像
• 证明格式，如 slsa/v1
• 支持多种加密密钥类型和服务（x509、KMS）进行签名
• 支持多种签名存储后端

安装

前提条件：在安装 Chains 之前，您需要在集群上安装 https://github.com/tektoncd/pipeline/blob/main/docs/install.md%E3%80%82

要将最新版本的 Chains 安装到 Kubernetes 集群，请运行：

kubectl apply --filename https://infra.tekton.dev/tekton-releases/chains/latest/release.yaml

要安装特定版本的 Chains，请运行：

kubectl apply -f https://infra.tekton.dev/tekton-releases/chains/previous/${VERSION}/release.yaml

要验证安装是否成功，请等待所有 Pod 的状态变为 Running：

kubectl get po -n tekton-chains --watch

NAME READY STATUS RESTARTS AGE
tekton-chains-controller-c4f7c57c4-nrjb2 1/1 Running 0 160m

配置

要完成 Chains 的设置，请执行以下步骤：

• 为 Chains 控制器添加身份验证
• 生成加密密钥并配置 Chains 使用其进行签名
• 设置任何其他配置

厂商特定文档

特定云厂商的任何其他文档可在 https://github.com/tektoncd/chains/tree/main/docs/vendor 找到。

教程

要开始使用 Chains，请尝试我们的 入门教程。

要开始签名 OCI 镜像并为其生成签名溯源，请尝试我们的 签名溯源教程。

社区教程

Chains 社区也一直在努力创建教程：

• https://github.com/thesecuresoftwarefactory/ssf/blob/main/examples/buildpacks/dual-storage-backend.md 展示了如何使用多个存储后端并通过 https://github.com/sigstore/cosign 验证证明。

实验性功能

要了解有关实验性功能的更多信息，请查看 experimental.md

贡献指南

我们非常欢迎您的贡献！

• 请参阅 CONTRIBUTING.md 了解我们的流程概述
• 请参阅 DEVELOPMENT.md 了解如何开始
• 请参阅 ROADMAP.md 了解当前路线图。查看我们的良好入门问题和需要帮助的问题以开始贡献！
• 请参阅 releases.md 了解我们的发布节奏和流程

要了解有关 Chains 的更多信息：

• 在 Slack 频道 #chains 与我们交流
• 参加 Chains 工作组会议，详情请见 https://github.com/tektoncd/community/blob/main/working-groups.md#chains