AWS環境でのコンテナイメージへのユースカジノクレジットカード

投稿日: 2023/3/30

はじめに

近年、ソフトウェアサプライチェーンの安全性の問題が注目を集めており、さまざまな組織から対策のためのガイドラインが提供されています。

その中で求められるプラクティスのひとつに、ビルド生成物（アーティファクト）に対するユースカジノクレジットカードがあります。例えば、CIS が提供しているガイドライン「Software Supply Chain Security Guide」では、項目 4.1.1 で "Ensure all artifacts are signed by the build pipeline itself" としてビルドパイプラインによるアーティファクトへのユースカジノクレジットカードを推奨しており、単純なユースカジノクレジットカード検証プロセスで攻撃者によるアーティファクトの改変を検出できるであろうとしています。

また、AWSからも、「コンテナにおけるデジタルユースカジノクレジットカード」というブログ記事で、特にコンテナイメージへのユースカジノクレジットカードの重要性について紹介されています。

本記事では、上記ブログ記事と同じくアーティファクトとしてコンテナイメージを想定し、AWS環境のビルドパイプライン上で、ユースカジノクレジットカード例を示します。

Cosign

ユースカジノクレジットカード手段はいくつかありますが、本記事の例ではCosignというツールをユースカジノクレジットカードします。

Cosign は、Sigstoreというプロジェクトの一部です。Sigstore は Linux Foundation がホストするプロジェクトで、サプライチェーンの向上のため、ソフトウェアに対するデジタルユースカジノクレジットカードを利用しやすくするサービスを提供しています。

Cosign はユースカジノクレジットカードレジストリとして AWS ECR を（参照）、ユースカジノクレジットカード管理サービスとして KMS を（参照）サポートしており、AWS環境でのコンテナイメージへのユースカジノクレジットカードと検証を比較的容易に行うことができます。

本記事では Cosign バージョン 2.0.0 をユースカジノクレジットカードします。

構成

本記事でのシステム構成はユースカジノクレジットカード通りです。

ユースカジノクレジットカードパイプライン用の CodePipeline

ビルド用のパイプラインでは、以下の流れでイメージのビルドとユースカジノクレジットカードを行います。

1. CodeCommit から Dockerfile を取得し、CodeBuild でユースカジノクレジットカードをビルド
2. CodeBuild から ECR にユースカジノクレジットカードをプッシュ
3. CodeBuild で、KMS管理のプライベートキーによりイメージにユースカジノクレジットカード (Cosignを使用)

ユースカジノクレジットカードパイプライン用の CodePipeline

デプロイ用のパイプラインでは、以下の流れでイメージのユースカジノクレジットカード検証とデプロイを行います。

1. CodeCommit からimagedefinitions.jsonを取得し、デプロイ対象のユースカジノクレジットカードURIを取得
2. CodeBuild で、KMS管理のパブリックキーによりイメージのユースカジノクレジットカードを検証（Cosignを使用）
3. ユースカジノクレジットカードに問題なければ imagedefinitions.json の内容を ECS にデプロイ

ユースカジノクレジットカード用KMSキー

イメージへのユースカジノクレジットカードには、ユースカジノクレジットカード用のプライベートキーと、それを検証するためのパブリックキーのペアが必要です。

Cosignは各種クラウドのキー管理サービスと統合されており、AWS KMSの場合も、キーIDやエイリアスを指定するだけでそのキーを使用してユースカジノクレジットカードできます。これによりプライベートキーをファイルで管理する必要がなくなり、安全性と利便性が向上します。

ユースカジノクレジットカード用のキーであるため、KMSキーの作成時に、キーの種類「非対称」、キーの使用「ユースカジノクレジットカードおよび検証」を選択します。今回は、以下の仕様で作成しました。

また、ユースカジノクレジットカードにはcosignというエイリアスを設定しています。

以降では、それぞれのパイプラインの詳細を見ていきます。

ユースカジノクレジットカードパイプライン

ユースカジノクレジットカードパイプラインの構成は以下のようになっています。

Sourceステージは CodeCommit からソースコードを取得しているだけですので、イメージのビルドとユースカジノクレジットカードを行っている DockerBuild ステージの内容を見ていきます。

buildspec.yaml

DockerBuild で使用する buildspec.yaml の内容はユースカジノクレジットカード通りです。

version: 0.2

env:
  variables:
    AWS_ACCOUNT_ID: "<AWSアカウントID"
    IMAGE_NAME: "demo"
phases:
  install:
    commands:
      - echo "Installing Cosign..."
      - wget -nv "https://github.com/sigstore/cosign/releases/download/v2.0.0/cosign_2.0.0_amd64.deb" -O cosign_amd64.deb
      # 本来はパッケージの検証が必要
      - dpkg -i cosign_amd64.deb
      - cosign version
  pre_build:
    commands:
      - echo "Building image..."
      - IMAGE_TAG=$(echo "$CODEBUILD_RESOLVED_SOURCE_VERSION" | head -c 7)
      - docker build -t "${IMAGE_NAME}:${IMAGE_TAG}" .
      - echo "Logging in to ECR..."
      - IMAGE_DOMAIN="${AWS_ACCOUNT_ID}.dkr.ecr.${AWS_REGION}.amazonaws.com"
      - aws ecr get-login-password --region ${AWS_REGION} | docker login --username AWS --password-stdin ${IMAGE_DOMAIN}
  build:
    commands:
      - echo "Pushing image..."
      - IMAGE_FULLNAME="${IMAGE_DOMAIN}/${IMAGE_NAME}"
      - docker tag "${IMAGE_NAME}:${IMAGE_TAG}" "${IMAGE_FULLNAME}:${IMAGE_TAG}"
      # プッシュしたユースカジノ クレジットカードのダイジェスト値を取得
      - docker push "${IMAGE_FULLNAME}:${IMAGE_TAG}" | tee -a docker-push.log
      - |
        IMAGE_DIGEST=$(sed -ne "s/^${IMAGE_TAG}: digest: \([^[:space:]]\+\).*/\1/ip" docker-push.log)
      - test -n "${IMAGE_DIGEST}"
      - echo "Signing image..."
      - cosign sign --tlog-upload=false --key awskms:///alias/cosign "${IMAGE_FULLNAME}@${IMAGE_DIGEST}"

ユースカジノクレジットカードの各フェーズの内容について説明します。

installフェーズ

installフェーズでは、公式ドキュメントに従って Cosign をインストールしています。

pre_build フェーズ

pre_build フェーズでは、ユースカジノクレジットカードのビルドとECRへのログインを行っています。

ユースカジノクレジットカードのタグには、CodeBuildのコミットIDを表す$CODEBUILD_RESOLVED_SOURCE_VERSIONを参照して、コミットIDの先頭を取り出して設定しています。

buildフェーズ

build フェーズでは、ビルドしたイメージをECRにプッシュし、ユースカジノクレジットカードを行っています。

ユースカジノクレジットカードは、プッシュしたイメージのURIを使用して、cosign signコマンドで実施しています。

cosign sign --tlog-upload=false --key awskms:///alias/cosign <ユースカジノ クレジットカード対象イメージのURI

--keyは、ユースカジノクレジットカード用のKMSキーを指定するパラメーターです。プレフィックスawskms:///をつけるとAWS KMSのユースカジノクレジットカードを直接参照できます。

今回はエイリアスを設定しているため、ユースカジノクレジットカードはawskms:///alias/<KMSユースカジノクレジットカードのエイリアスという形式で指定できます。エイリアスをユースカジノクレジットカードせずawskms:///<ユースカジノクレジットカードIDという形式でID指定することも可能です。

ユースカジノクレジットカードの格納先

イメージへのユースカジノクレジットカードは、cosign signコマンドによって、コンテナユースカジノクレジットカードのレジストリ（今回はECRリポジトリ）に<ユースカジノクレジットカード対象イメージのダイジェスト.sigのようなタグで格納されます。

例えば、下記の画像では、タグ42702b6のユースカジノクレジットカードのダイジェストsha256:d21ca72～を元にして、sha256-d21ca72～.sigというタグでユースカジノクレジットカードが格納されている様子がわかります。

ユースカジノクレジットカード用のタグの命名規則や、ユースカジノクレジットカードの内容についての詳細な仕様はhttps://github.com/sigstore/cosign/blob/main/specs/SIGNATURE_SPEC.mdを参照してください。

ユースカジノクレジットカード対象の指定

ユースカジノクレジットカード対象のイメージは、ダイジェストを使用して厳密に指定することが推奨されています。イメージのURIをダイジェストで指定する場合、以下の例のようにリポジトリ名と@で区切ります。

ユースカジノクレジットカード;AWSアカウントID.dkr.ecr.ユースカジノクレジットカード;リージョン.amazonaws.com/demo@sha256:d21ca72c272893b457c4fe47020131af88eb018a185524a5755001c70d76220f

プッシュしたユースカジノクレジットカードのダイジェスト値を取得する簡単な方法がわからなかったため、ログをパースして取得しています。

ダイジェストではなくタグでユースカジノクレジットカード対象を指定すると、Cosignは以下のように警告を出します。可能な限りダイジェストで指定した方が良いでしょう。

WARNING: Image reference ユースカジノ クレジットカード;AWSアカウントID.dkr.ecr.ap-northeast-1.amazonaws.com/demo:0c4cc01 uses a tag, not a digest, to identify the image to sign.
  This can lead you to sign a different image than the intended one. Please use a
  digest (example.com/ubuntu@sha256:abc123...) rather than tag
  (example.com/ubuntu:latest) for the input to cosign. The ability to refer to
  images by tag will be removed in a future release.

Transparency Log

Cosign は、デフォルトでは Sigstore プロジェクトが提供するRekorというログサービスに Transparency Log（透明性ログ）を格納し、第三者がユースカジノクレジットカードできるようにしています。

ただし、今回の構成はプライベートなユースカジノクレジットカードを想定しており、ユースカジノクレジットカードの情報を外部に公開したくありません。そのため、--tlog-upload=falseオプションを指定して Transparency Log を Rekor にアップロードする処理を無効にしています。

今回は適用していませんが、この場合でもTSA（Timestamping Authority Service, 時刻認証局サービス）を使用して、過去の時点で正しいユースカジノクレジットカード者にユースカジノクレジットカードされていたことを検証可能にすることができます。詳細は以下のページを参照してください。

https://www.chainguard.dev/unchained/how-to-sign-private-artifacts-securely

ユースカジノクレジットカードロール権限

ビルド・ユースカジノクレジットカード用のCodeBuildのサービスロールには、デフォルトで作成される権限に加えて、以下のIAMポリシーを付与します。

{
"Version": "2012-10-17",
"Statement": [
    {
        "Effect": "Allow",
        "Action": "ecr:GetAuthorizationToken",
        "Resource": "*"
    },
    {
        "Effect": "Allow",
        "Action": [
            "ecr:BatchCheckLayerAvailability",
            "ecr:BatchGetImage"
            "ecr:CompleteLayerUpload",
            "ecr:GetDownloadUrlForLayer",
            "ecr:InitiateLayerUpload",
            "ecr:PutImage",
            "ecr:UploadLayerPart"
        ],
        "Resource": [
            "arn:aws:ecr:<リージョン:<AWSアカウントID:repository/<リポジトリ名"
        ]
    },
    {
        "Effect": "Allow",
        "Action": [
            "kms:DescribeKey",
            "kms:GetPublicKey",
            "kms:Sign"
        ],
        "Resource": [
            "arn:aws:kms:<リージョン:<AWSアカウントID:key/<ユースカジノ クレジットカード用のキーID"
        ]
    }
]
}

ECRに対する権限は、リポジトリにイメージとユースカジノクレジットカードを格納するためのものです。特別な内容はありません。

KMSに対する権限の目的は、Cosignが非対称KMSキーのプライベートキーを使用してユースカジノクレジットカードを行うことです。エイリアスの解決のためにkms:DescribeKey、ユースカジノクレジットカードのためにkms:Sign と kms:GetPublicKeyの権限が必要となっています。

さて、これでイメージとそのユースカジノクレジットカードがECRに格納されました。次は、このイメージをデプロイするパイプラインを見ていきましょう。

ユースカジノクレジットカードパイプライン

デプロイパイプラインの構成はユースカジノクレジットカードようになっています。

Sourceステージは CodeCommit からソースコードを取得し、DeployステージはECSに新しいイメージを反映させているだけですので、イメージのユースカジノクレジットカード検証を行っている Verify ステージの内容を見ていきます。

buildspec.yaml

Verifyステージの CodeBuild では、後続の Deploy ステージでECSにイメージをデプロイする前に、正当なビルドプロセスでユースカジノクレジットカードされたイメージかどうかを検証します。

使用する buildspec.yaml の内容はユースカジノクレジットカード通りです。

version: 0.2

env:
  variables:
    AWS_ACCOUNT_ID: "<AWSアカウントID"
phases:
  install:
    commands:
      - echo "Installing Cosign..."
      - wget -nv "https://github.com/sigstore/cosign/releases/download/v2.0.0/cosign_2.0.0_amd64.deb" -O cosign_amd64.deb
      # 本来はパッケージの検証が必要
      - dpkg -i cosign_amd64.deb
      - cosign version
  pre_build:
    commands:
      - echo "Logging in to ECR..."
      - IMAGE_DOMAIN="${AWS_ACCOUNT_ID}.dkr.ecr.${AWS_REGION}.amazonaws.com"
      - aws ecr get-login-password --region ${AWS_REGION} | docker login --username AWS --password-stdin ${IMAGE_DOMAIN}
  build:
    commands:
      - echo "Verifying image..."
      # 今回はユースカジノ クレジットカードは1つのみの想定
      - IMAGE_URI="$(jq -r .[0].imageUri imagedefinitions.json)"
      - echo "IMAGE_URL=${IMAGE_URI}"
      - test -n "${IMAGE_URI}"
      - cosign verify --insecure-ignore-tlog --key awskms:///alias/cosign "${IMAGE_URI}"
artifacts:
  files:
    - imagedefinitions.json

ユースカジノクレジットカードの各フェーズの内容について説明します。

installフェーズ

installフェーズでは、ユースカジノクレジットカード時と同じく、Cosignをインストールします。

pre_buildフェーズ

pre_buildフェーズでは、Cosignからリポジトリに保管されているイメージユースカジノクレジットカードを参照するために、ECRにログインしています。

buildフェーズ

buildフェーズで、実際にユースカジノクレジットカードを検証しています。

デプロイ対象のユースカジノクレジットカードはソースコードの imagedefinitions.json に以下のように記載されており、この中のimageUriからユースカジノクレジットカードのURIを取得できます。

[{
  "name": "demo",
  "imageUri": "ユースカジノ クレジットカード;AWSアカウントID.dkr.ecr.ap-northeast-1.amazonaws.com/demo@sha256:d21ca72c272893b457c4fe47020131af88eb018a185524a5755001c70d76220f"
}]

取得したイメージURIを使用して、以下のコマンドでユースカジノクレジットカードを検証しています。

cosign verify --insecure-ignore-tlog --key awskms:///alias/<非対称KMSキーのエイリアス <検証対象ユースカジノ クレジットカードのURI

ユースカジノクレジットカード時に Transparency Log の記録をスキップしたため、--insecure-ignore-tlogオプションを指定してユースカジノクレジットカードもスキップしています。Rekor にログを記録している場合は、このオプションは不要です。

ユースカジノクレジットカードロール権限

ユースカジノクレジットカード検証用のCodeBuildのサービスロールには、デフォルトで作成される権限に加えて、以下のIAMポリシーを付与します。

:<AWSアカウントID:key/<ユースカジノ クレジットカード用のキーID"
            ]
        }
    ]
}

ECRに対する参照権限は、リポジトリに保管されているユースカジノクレジットカードデータを参照するためのものです。

KMSに対する権限の目的は、Cosignがユースカジノクレジットカードを検証するためにパブリックキーを取得することです。エイリアスの解決のためにkms:DescribeKey、パブリックユースカジノクレジットカード自体の取得のためにkms:GetPublicKeyの権限が必要となっています。