NAME

podsec-create-policy - создание системных политик и файлов конфигурации

SYNOPSIS

podsec-create-policy ip-адрес_регистратора_и_сервера_подписей

DESCRIPTION

Cкрипт создает файлы политик и настраивает системные сервисы для работы podman как в rootfull, так и в rootless режиме:

• Добавляет в файл /etc/hosts привязку доменов registry.local, sigstore.local к указанному ip-адресу_регистратора_и_сервера_подписей;
• Создает с сохранением предыдущих файл политик /etc/containers/policy.json;
• Создает с сохранением предыдущих файл /etc/containers/registries.d/default.yaml описания доступа к открытым ключам подписантов;
• Создает группу podman;
• Если ip-адрес_регистратора_и_сервера_подписей совпадает с локальным IP-адресом, создает группу podmen_dev и инициализирует каталог /var/sigstore/ и подкаталоги хранения открытых ключей и подписей образов;
• Добавлеяет insecure-доступ к регистратору registry.local в файл /etc/containers/registries.conf;
• Настраивает использование образа registry.local/k8s-c10f1/pause:3.9 при запуска pod´ов в podman (podman pod init);

SECURITY CONSIDERATIONS

• IP-адрес регистратора и сервера подписей не должен быть локальным 127.0.0.1
• Если привязка доменов registry.local, sigstore.local в файле /etc/hosts уже существует скрипт прекращает свою работу с кодом завершения 1. Необходимо удалить строку привязки и перезапустить скрипт.
• Если скрипт запускается на узле кластера отличным от sigstore.local, то после работы скрипта необходимо скопировать с узла sigstore.local файл политик /etc/containets/policy.json в соответствующий каталог /etc/containets/. Данную операцию необходимо производить при каждом добавлении пользователя подписывающего образы на sigstore.local.

SEE ALSO

•

Описание периодического контроля целостности образов контейнеров и параметров настройки средства контейнеризации https://github.com/alt-cloud/podsec/tree/master/ImageSignatureVerification

AUTHOR

Костарев Алексей, Базальт СПО kaf@basealt.ru