セキュリティーの考慮事項

署名の検証に必要な公開鍵、証明書、証明書チェーンは、以下からダウンロードできる。 Transformation Advisor 署名の検証に必要な公開鍵、証明書、証明書チェーンはこちらからダウンロードできます： taPublicKeys.zip

アーカイブを unzip して、以下のファイルにアクセスします。

• PRD0004063key.pem.cer
• PRD0004063key.pem.chain
• PRD0004063key.pem.pub.key
• PRD0004063key.pub.asc

後続のセクションでは、これらのファイルを使用して、どのようにアーティファクトの署名を検証するかを説明する。 Transformation Advisor を検証する方法について説明する。

画像は Transformation AdvisorAMD64 画像はGPGシンプル署名を使って署名されている。 署名は、 skopeo または podman のツールで以下のように検証できる：

1. 検証を構成する policy.json ファイルを作成します。 例:

{
   "default":  [{"type": "reject"}],
   "transports": {
        "docker": {
            "cp.icr.io/cp/icpa": [{
                "type": "signedBy",
                "keyType": "GPGKeys",
                "keyPath": "<KEY_LOCATION>/PRD0004063key.pub.asc"
            }],
            "icr.io/cpopen": [{
                "type": "signedBy",
                "keyType": "GPGKeys",
                "keyPath": "<KEY_LOCATION>/PRD0004063key.pub.asc"
            }],
            "icr.io/appcafe": [{
                "type": "signedBy",
                "keyType": "GPGKeys",
                "keyPath": "<KEY_LOCATION>/PRD0004063key.pub.asc"
            }]
        }
    }
}

ローカル Transformation Advisor ローカル、およびzipファイルのダウンロード方法については、 IBM Transformation Advisor on RHELのインストールを参照のこと。 zipをダウンロードする際には、zipファイルの完全性を確認するために <filename>.zip.cosign.sig 。

署名を検証するには、設定に従って 3 つの方法があります。 以下の手順に必要な公開鍵、証明書、証明書チェーンは、このセクションの冒頭にあるリンクからダウンロードできる。

デフォルトでは Transformation Advisor インスタンスは自動的に OpenShift Container Platform OAuthClient を使うように設定されます。 を設定することができる。 Transformation Advisor を使用して、サードパーティの認証ソースを使用するように構成できます。

サードパーティ認証ソースの構成方法の詳細については、 IBM Transformation Advisor の構成 を参照してください。

Transformation Advisor は役割を区別しない。

ルートは、クラスター・リソースへの外部アクセスを提供するために使用されます。 Transformation Advisor は、インストールされているプロジェクトとクラスタ・ドメインに基づいて3つのダイナミック・ルートを作成します。 経路は以下のとおりです。

ポッド間の内部TLS通信用にカスタム証明書を提供できる。 Transformation Advisor ポッド間の内部 TLS 通信用にカスタム証明書を提供できます。

詳しくは、 Bring Your Own Key (BYOK) の有効化を参照してください。

ネットワーク・ポリシーは、ポッドへの出入りのトラフィックを制御する。 Transformation Advisor ポッドに出入りするトラフィックを制御します。

Transformation AdvisorSecret を使用することで、操作に必要な認証情報を安全に保存する。 Transformation Advisor インストール時に Secret を一意のランダムな値で自動生成します。 また、必要な値の一部または全部を、ユーザー自身が Secret。 Transformation Advisor は、ユーザーが与えなかった値を自動的に生成する。

例えば、ユーザーは、サード・パーティー認証のセットアップ時に OAuth クライアント ID と秘密鍵を指定する必要があります。 詳細については、 IBM Transformation Advisor の設定を 参照してください。