Helm chart指南-系列（6）- 出处与完整性验证

2018-12-13 672

Chart 的出处与完整性验证

Helm拥有可帮助chart用户验证chart包完整性和出处的工具。使用基于PKI，GnuPG和备受尊敬的软件包管理器的行业标准工具，Helm可以生成并验证签名文件。

概述

完整性通过将chart与其出处记录进行比较来确定。出处记录存储在出处文件provenance中，并与打包的chart一起存储。例如，如果chart包被命名myapp-1.2.3.tgz，其出处文件将是myapp-1.2.3.tgz.prov。

出处文件在打包时生成（helm package --sign ...），并且可以通过多个命令检查，比如helm install --verify。

工作流程

本节描述了有效使用出处数据的可用的工作流程。

前提条件：

二进制（非ASCII）格式的有效PGP密钥对
helm命令行工具
GnuPG命令行工具（可选）
Keybase命令行工具（可选） – 注意：如果PGP私钥有密码，支持--sign选项的任何命令系统将提示输入密码以查看。

创建chart：

$ helm create mychart
Creating mychart

准备打包后，将--sign参数加到helm package。另外，指定已知签名密钥和包含相应私钥的密钥环keyring：

$ helm package --sign --key 'helm signing key' --keyring path/to/keyring.secret mychart

提示：对于GnuPG用户，密钥环已存在~/.gnupg/secring.gpg。可以使用gpg –list-secret-keys列出拥有的密钥。

警告： GnuPG v2在默认位置在〜/ .gnupg / pubring.kbx，使用新格式’kbx’存储密钥keyring。请使用以下命令将钥匙keyring转换为传统的gpg格式：

$ gpg --export-secret-keys >~/.gnupg/secring.gpg

到这里，应该可用看到mychart-0.1.0.tgz和mychart-0.1.0.tgz.prov。这两个文件最终应该上传到想要的chart库。

可以使用helm verify以下方式验证chart：

$ helm verify mychart-0.1.0.tgz

验证失败如下所示样例：

$ helm verify topchart-0.1.0.tgz Error: sha256 sum does not match for topchart-0.1.0.tgz: "sha256:1939fbf7c1023d2f6b865d137bbb600e0c42061c3235528b1e8c82f4450c12a7" != "sha256:5a391a90de56778dd3274e47d789a2c84e0e106e1a37ef8cfa51fd60ac9e623a"

要在安装过程中进行验证，请使用该--verify标志。

$ helm install --verify mychart-0.1.0.tgz

如果密钥keyring（包含与签名chart关联的公钥）不在默认位置，则可能需要--keyring PATH像helm package示例中那样指向密钥keyring。

如果验证失败，在chart被推到Tiller之前中止安装终止。

使用Keybase.io凭据

该Keybase.io服务可以很容易建立信任链的密码身份。密钥库凭证可用于对chart进行签名。

前提条件：

已配置的Keybase.io帐户
GnuPG在本地安装
keybaseCLI本地安装

签署软件包

第一步是将keybase密钥导入到本地GnuPG密钥keyring中：

$ keybase pgp export -s | gpg --import

这会将Keybase密钥转换为OpenPGP格式，然后将其本地导入到~/.gnupg/secring.gpg文件中。

可以通过运行gpg --list-secret-keys进行仔细检查。

$ gpg --list-secret-keys /Users/mattbutcher/.gnupg/secring.gpg
-------------------------------------
sec 2048R/1FC18762 2016-07-25
uid technosophos (keybase.io/technosophos) <technosophos@keybase.io>
ssb 2048R/D125E546 2016-07-25

注意，密钥有一个标识符字符串：

technosophos (keybase.io/technosophos) <technosophos@keybase.io>

这是钥匙的全名。

接下来，可以使用helm package打包和签名chart。--key确保至少使用该名称字符串的一部分。

$ helm package --sign --key technosophos --keyring ~/.gnupg/secring.gpg mychart

结果，package命令应该生成一个.tgz文件和一个.tgz.prov 文件。

验证软件包

还可以使用类似的技术来验证由其他人的Keybase密钥签名的chart。假设想验证签名的软件包keybase.io/technosophos。请使用该keybase工具：

$ keybase follow technosophos
$ keybase pgp pull

上面的第一条命令跟踪用户technosophos。接下来keybase pgp pull，将关注的所有帐户的OpenPGP密钥下载到GnuPG密钥环（~/.gnupg/pubring.gpg1）中

到此，可以使用helm verify或带有--verify参数的任何命令：

$ helm verify somechart-1.2.3.tgz

可能无法验证的原因

下面是失败的常见原因。

prov文件丢失或损坏。这表明某些内容配置错误或原始维护人员未创建出处文件。
用于签署文件的密钥不在钥匙keyring中。这表明签名chart的组织不是已经信任的人员。
prov文件的验证失败。这表明chart或出处数据有问题。
prov文件中的文件哈希与压缩包文件的哈希不匹配。这表明压缩包已被篡改。
如果验证失败，则有理由怀疑该软件包有问题。

Provenance文件

Provenance文件包含chart的YAML文件以及几条验证信息。Provenance文件被设计自动生成。

添加了以下几个出处数据：

包含chart文件（Chart.yaml）可以让人员和工具轻松查看chart内容。
包括chart包（.tgz文件）的签名（SHA256，就像Docker）一样，可用于验证chart包的完整性。
整个文件使用PGP使用的算法进行签名（参见[ http://keybase.io ]，这是一种使加密签名和验证变得容易的新方法）。

这样的组合给了用户以下保证：

包本身没有被篡改（校验和包tgz）。
已知发布此包的组织（通过GnuPG / PGP签名）。

该文件的格式如下所示：

-----BEGIN PGP SIGNED MESSAGE-----
name: nginx
description: The nginx web server as a replication controller and service pair.
version: 0.5.1
keywords: - https
 - http
 - web server
 - proxy
source: - https://github.com/foo/bar
home: http://nginx.com ...
files:
 nginx-0.5.1.tgz: “sha256:9f5270f50fc842cfcb717f817e95178f” -----BEGIN PGP SIGNATURE----- Version: GnuPG v1.4.9 (GNU/Linux)

iEYEARECAAYFAkjilUEACgQkB01zfu119ZnHuQCdGCcg2YxF3XFscJLS4lzHlvte
WkQAmQGHuuoLEJuKhRNo+Wy7mhE7u1YG =eifq
-----END PGP SIGNATURE-----

注意，YAML部分包含两个文档（由分隔...\n）。首先是Chart.yaml。第二个是校验和，一个文件名到SHA-256摘要的映射（上显示的值是假的/被截断的）

签名块是一个标准的PGP签名，它提供了防篡改功能。

Chart库

Chart库用作Helm chart的集中场所。

Chart存储库必须能够通过特定的请求通过HTTP为provenance文件提供服务，并且必须使它们在与chart相同的URI路径下可用。

例如，如果软件包的基本URL是https://example.com/charts/mychart-1.2.3.tgz, provenance文件（如果存在）必须可以通过https://example.com/charts/mychart-1.2.3.tgz.prov访问。

从最终用户的角度来看，`helm install –verify myrepo/mychart-1.2.3 “应该无需额外的配置或操作即可下载chart和provenance文件。

确认认证和真实性

在处理信任链系统时，能够确认签名者的认证很重要。或者，简单地说，上述系统取决于相信签名人员的事实。这反过来又意味着你需要信任签名者的公钥。

Kubernetes Helm的设计决策之一是Helm项目不会将自己插入信任链中作为必要的组分。我们不希望成为所有chart签名者的“证书颁发机构”。相反，我们强烈支持分散模式，这是我们选择OpenPGP作为基础技术的原因之一。所以说到确认认证时，我们在Helm 2.0.0中对这个步骤或多或少未明确定义。

但是，对于那些有兴趣使用rpovenance系统的人，我们有一些建议：

Keybase 平台提供了可靠信息的公开集中存放。
可以使用Keybase存储密钥或获取其他公钥。
Keybase也有很多可用的文档
虽然我们还没有对它进行测试，但Keybase的“安全网站”功能可用于服务Helm chart。
Kubernetes chart项目正在设法解决这个管方chart库official Kubernetes Charts project问题。
这里有一个很长的issue，详细介绍了当前的想法。
基本思想原则是官方的“chart reviewer”用她或他的钥匙签名chart，然后将得到的Provence文件上传到chart存储库。
关于有效签名密钥列表可包含在index.yaml存储库文件中的想法已经有了一些工作进展。

最后，信任链是Helm的一个发展特征，一些社区成员已经提出了将OSI模型的一部分用于签名。这是Helm团队的一个开放性调查。如果你有兴趣，请参与其中。

本文转自kubernetes中文社区-Helm chart指南-系列（6）- 出处与完整性验证

微信关注我们

原文链接：https://yq.aliyun.com/articles/679368

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

Kubernetes，谁的人生没有拐点

如今在容器圈提到Kubernetes，可谓是无人不知无人不晓。正如金庸小说中的，郭襄一见杨过误终生。笔者也是只认Kubernetes。下面就和大家一起来看看Kubernetes的转折点，看看它是否能柳暗花明又一春？上周在哥本哈根的 KubeCon和 CloudNativeCon会议上，我们看到一个开源大家庭聚集在一起，它们充满活力而且积极向上，它们在业界的影响力在不断增长。忆往昔，Kubernetes好似几年前刚从谷歌出来的毛头小子，但是到如今已然迅速获得认可并圈粉无数——然而高处不胜寒，很多问题亟待解决。在今年的欧洲会议上，Kubernetes社区似乎已经开始着手来应对这种“飞”速发展了，就像红帽、IBM、谷歌、AWS和VMware等大型企业组织一样，所有的开发人员和初创公司都一起来试图找出他们在这里发现的新大陆。 Kubernetes项目事实上作为容器编排工具已经得到业界的广泛认可，并且正如你看到的，它不再仅仅是简单地去实施一个项目然后证明一下自可以被用于生产环境。它快的如此单纯，让你不得不想法保护它。因此，我们需要更高水平的更成熟的工具来管理它。以前貌似不需要，那是因为你还不...

2018-12-13

701

GitHub Octoverse数据以及专家们的一致看好印证了一个事实：开了香槟的Kubernetes并不打算放慢成功的脚步！人们在很久以前就展现出了对于Kubernetes的热情，然而这份爱在最近几年急剧升温并且愈演愈烈。过去一年中各路专家的表态也证明了，Kubernetes在管理容器化工作负载和服务方面的领先地位。大家都在学习Kubernetes，甚至思考KaaS的可能（Kubernetes as an infrastructure），Kubernetes想必会成为我们的“通用语（Lingua Franca）” ——Erkan Yanar, freelance consultant Kubernetes已经在容器编排工具对决中胜出了，它为我们提供了一致、开发、独立的管理和运行工作负载的方式。 ——Nicki Watt, CTO at OpenCredo 除了专家的表态，GitHub Octoverse 2017中的数据也进一步表明，2017年对于Kubernetes来说是一个非常充实和成功的一年。准确地说，在讨论热度和review榜单中，有三个项目是与Kubernetes相关...

2018-12-13

617

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

WebStorm

WebStorm 是jetbrains公司旗下一款JavaScript 开发工具。目前已经被广大中国JS开发者誉为“Web前端开发神器”、“最强大的HTML5编辑器”、“最智能的JavaScript IDE”等。与IntelliJ IDEA同源，继承了IntelliJ IDEA强大的JS部分的功能。