Tekton Security
devsecopsDéfinition
Framework CI/CD cloud-native Kubernetes avec contrôles de sécurité natifs : RBAC pipelines, signature des artifacts via Tekton Chains, résolution des paramètres via Vault.
Description
Tekton Chains est un contrôleur Kubernetes surveillant les TaskRuns et PipelineRuns Tekton pour générer automatiquement des attestations de provenance SLSA v1.0 signées via Cosign, sans modifier les pipelines existants. Les attestations sont stockées dans un registre OCI ou Rekor.
Mise en œuvre
Installer Tekton Chains, configurer le signing secret Cosign (signing-secrets), définir artifacts.oci.storage: oci dans la ConfigMap. Chaque TaskRun générant une image OCI produit automatiquement une attestation de provenance SLSA.
Points clés
- Signer les résultats Tekton : TaskRun results signés et vérifiables via
tkn chains payload - Multi-format : attestations SLSA, in-toto v0.1 et v1.0 supportées
- Zero friction : aucune modification des Pipelines existants pour obtenir SLSA L2
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis