Läuft Ihr Kubernetes-Cluster auf reinem Vertrauen? Warum an Image-Verifizierung kein Weg mehr vorbeiführt

Sehen wir uns einige Praxisbeispiele an. Stellen Sie vorab sicher, dass Kyverno in Ihrem Cluster installiert ist.

Szenario 1: Images auf zugelassene Registries beschränken

Eine einfache, aber wirkungsvolle Policy: Nur Images aus den vertrauenswürdigen Registries Ihres Unternehmens zulassen.

---
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: restrict-image-registries
spec:
  validationFailureAction: Enforce # Deployments blockieren, wenn die Validierung fehlschlägt
  rules:
  - name: validate-registries
    match:
      any:
      - resources:
          kinds:
          - Pod
          - Deployment
          - StatefulSet
          - Job
          - CronJob
    validate:
      message: "Images must be pulled from approved registries (gcr.io or my.private.registry)."
      pattern:
        spec:
          containers:
          - image: "gcr.io/* | my.private.registry/*" # Erlaubte Registry-Muster

Wird ein Image aus einer nicht zugelassenen Registry verwendet, wird das Deployment mit einer eindeutigen Validierungsmeldung blockiert.

Szenario 2: Sicherstellen, dass Images mit Cosign signiert sind

Cosign, eine zentrale Komponente des Sigstore-Projekts, ist ein weit verbreitetes Tool zum kryptografischen Signieren und Verifizieren von Software-Artefakten. Signaturen und Attestierungen werden direkt in einer OCI-Registry abgelegt. Stellen Sie sicher, dass die öffentlichen Schlüssel zur Image-Verifizierung erreichbar sind – entweder in Kubernetes Secrets oder per URL.

Kyverno integriert sich direkt mit Cosign über die Regel verifyImages, um Policies durchzusetzen, die Container-Image-Signaturen sowie in-toto-Attestierungen validieren. So gelangen ausschließlich vertrauenswürdige und verifizierte Images in den Kubernetes-Cluster.

Hier ist eine Kyverno-ClusterPolicy, die sicherstellt, dass alle im Namespace production deployten Images mit einem bestimmten öffentlichen Schlüssel signiert sind:

---
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: check-image-signatures
spec:
  validationFailureAction: Enforce
  background: false
  webhookTimeoutSeconds: 30
  failurePolicy: Fail
  rules:
    - name: verify-image-signature
      match:
        any:
        - resources:
            kinds:
              - Pod
            namespaces:
              - production
      verifyImages:
      - imageReferences:
        - "registry.example.com/*:*" # An Ihr Image-Muster anpassen
        attestors:
        - count: 1
          entries:
          - keys:
              publicKeys: | #Der öffentliche Schlüssel kann entweder direkt in der Policy definiert oder über ein Standard-Kubernetes-Secret an anderer Stelle im Cluster referenziert werden – im Format k8s://<namespace>/<secret_name>. Das genannte Secret muss einen Schlüssel cosign.pub enthalten, der den öffentlichen Schlüssel zur Verifizierung bereitstellt.
                -----BEGIN PUBLIC KEY-----
                MFkwEwYHKoZIzj0CAQYIKoZIzj0DAQcDQgAEyourPublicKeyContentHere...
                -----END PUBLIC KEY-----

Ein signiertes Image lässt sich wie gewohnt deployen, während der Versuch, ein unsigniertes Image zu starten, in einem Policy-Fehler endet:

Szenario 3: Attestierungen von Schwachstellen-Scans verifizieren

Ein zentraler Aspekt der Software-Supply-Chain-Integrität sind regelmäßige Schwachstellen-Scans der Images. Scans zur Build-Zeit sind ein Anfang – sie müssen aber wiederholt werden, sobald neue Schwachstellen bekannt werden. Kyverno unterstützt das, indem es Attestierungen prüft, die einen kürzlich erfolgreich durchgeführten Scan belegen.

Hier eine Kyverno-ClusterPolicy von Trivy, die für Pod-Images sicherstellt, dass deren Schwachstellen-Scan nicht älter als eine Woche ist.

---
apiVersion: kyverno.io/v1
kind: ClusterPolicy
metadata:
  name: check-vulnerabilities
spec:
  validationFailureAction: enforce
  webhookTimeoutSeconds: 30
  failurePolicy: Fail
  rules:
    - name: not-older-than-one-week
      match:
        any:
        - resources:
            kinds:
              - Pod
      verifyImages:
      - imageReferences:
        - "registry.example.com/*:*" # An Ihr Image-Muster anpassen
        attestations:
        - predicateType: cosign.sigstore.dev/attestation/vuln/v1
          conditions:
          - all:
            - key: "{{ time_since('','{{metadata.scanFinishedOn}}','') }}"
              operator: LessThanOrEquals
              value: "168h"

Kyverno blockiert die Pod-Erstellung, wenn das Image nicht kürzlich auf Schwachstellen gescannt wurde und keine Cosign-signierte Attestierung des Schwachstellen-Scans vorliegt.

Das sind nur einige Beispiele. Die Flexibilität von Kyverno erlaubt deutlich granularere Kontrollen – etwa die Prüfung bestimmter Image-Tags und Labels oder das Ablehnen von Images mit kritischen Schwachstellen anhand der Attestierungsdaten.