Политика применяется, когда необходимо убедиться, что изображение находится у доверенного издателя, и в него не вносились изменения. Подписывание Docker-образов — это процесс, обеспечивающий их подлинность и целостность. Это достигается путём добавления цифровой подписи к Docker-образу, которую можно проверить во время развертывания.
Для установки необходимо заполнить конфигурационный файл.
Заполнение конфигурационного файла
Заполните конфигурационный файл values-policies.yaml для установки политик безопасности Kyverno.
- Настройте политику проверки подписей Docker-образов. Политика выключена по умолчанию. Чтобы включить политику, в параметре checkImageSign.enabled укажите значение
true. - Если в вашем кластере Kubernetes установлено несколько экземпляров приложения ELMA365 On-Premises, но проверку подписей Docker-образов нужно применить только к части экземпляров приложений ELMA365, заполните параметр checkImageSign.namespace. В этом параметре указаваются пространства имён экземпляров приложения ELMA365.
# Настройки kyverno-policies
...
# политика проверки подписей Docker-образов
checkImageSign:
enabled: false
# список реестров, для которых будет применена политика подписей Docker-образов
registry:
- hub.elma365.tech
# список namespace, в которых будет применена политика подписей Docker-образов
namespace:
- elma365-dev
- elma365-prod
# секрет для доступа к Docker-образам для применения политики подписей Docker-образов
existingImagePullSecrets:
- yandexsecret
- После настройки политики безопасности выполните установку чарта kyverno-policies, как указано в шаге 3 этапа 2 статьи «Установка Kyverno».