Ver a origem do build

Nesta página, fornecemos instruções sobre como visualizar e auditar os metadados de procedência da compilação gerados pelo Cloud Build.

A procedência da versão é uma coleção de dados verificáveis sobre uma versão executada pelo Cloud Build. Os metadados de procedência incluem detalhes como os resumos das imagens criadas, os locais da origem de entrada, os argumentos e a duração do build.

O Cloud Build oferece suporte à geração de procedência do build que atende à garantia de Níveis 3 da cadeia de suprimentos para artefatos de software (SLSA, na sigla em inglês) com base nas especificações da versão 0.1 da SLSA, e a compatibilidade com a versão 1.0 está em Prévia.

Como parte do suporte à especificação SLSA v1.0, o Cloud Build fornece detalhes de buildType. Você pode usar o esquema buildType para entender o modelo parametrizado usado no processo de build. Para mais informações, consulte buildType v1 do Cloud Build.

Antes de começar

1. Enable the Cloud Build, Artifact Analysis, and Artifact Registry APIs.

   Enable the APIs

2. Para usar os exemplos de linha de comando neste guia, instale e configure o SDK Google Cloud.

O recurso só funciona com imagens de contêiner armazenadas no Artifact Registry.

Ver a origem do build

Nesta seção, explicamos como ver os metadados de procedência do build criados pelo Cloud Build.

Quando você cria uma imagem com o Cloud Build, a procedência da imagem do build é registrada automaticamente. É possível buscar essas informações posteriormente para fins de auditoria.

Conferir a procedência no console do Google Cloud

É possível conferir a procedência do build no painel lateral Insights de segurança no console do Google Cloud.

O painel lateral Insights de segurança fornece uma visão geral de alto nível das informações de segurança dos artefatos armazenados no Artifact Registry. Para saber mais sobre o painel lateral e como usar o Cloud Build para proteger sua cadeia de suprimentos de software, consulte Ver insights de segurança do build.

Conferir a procedência usando a Google Cloud CLI

1. Para gerar os metadados de procedência, execute um build com o Cloud Build.

   Envie a imagem criada usando o campo images em vez de uma etapa docker push. O Cloud Build só gera attestations para imagens enviadas pelo campo images.

2. Para consultar os metadados de procedência gerados, execute o seguinte comando:

   gcloud artifacts docker images describe \
   LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH \
   --show-provenance
   

   Substitua os valores de marcador no comando pelo seguinte:

   • LOCATION: local regional ou multirregional.
   • PROJECT_ID: ID do projeto do Google Cloud
   • REPOSITORY: nome do repositório.
   • IMAGE: nome da imagem.
   • HASH: o valor de hash sha256 da imagem. Você pode encontrar isso na saída do seu build.

   A saída é a procedência do contêiner, conforme descrito na especificação da procedência do SLSA. Por exemplo:

     image_summary:
     digest: sha256:7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
     fully_qualified_digest: us-central1-docker.pkg.dev/my-project/my-repo/my-image@sha256:7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
     registry: us-central1-docker.pkg.dev
     repository: my-repo
     slsa_build_level: 0
   provenance_summary:
     provenance:
     - build:
         inTotoSlsaProvenanceV1:
           _type: https://in-toto.io/Statement/v1
           predicate:
             buildDefinition:
               buildType: https://cloud.google.com/build/gcb-buildtypes/google-worker/v1
               externalParameters:
                 buildConfigSource:
                   path: cloudbuild.yaml
                   ref: refs/heads/main
                   repository: git+https://github.com/my-username/my-git-repo
                 substitutions: {}
               internalParameters:
                 systemSubstitutions:
                   BRANCH_NAME: main
                   BUILD_ID: e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
                   COMMIT_SHA: 525c52c501739e6df0609ed1f944c1bfd83224e7
                   LOCATION: us-west1
                   PROJECT_NUMBER: '265426041527'
                   REF_NAME: main
                   REPO_FULL_NAME: my-username/my-git-repo
                   REPO_NAME: my-git-repo
                   REVISION_ID: 525c52c501739e6df0609ed1f944c1bfd83224e7
                   SHORT_SHA: 525c52c
                   TRIGGER_BUILD_CONFIG_PATH: cloudbuild.yaml
                   TRIGGER_NAME: github-trigger-staging
                 triggerUri: projects/265426041527/locations/us-west1/triggers/a0d239a4-635e-4bd3-982b-d8b72d0b4bab
               resolvedDependencies:
               - digest:
                   gitCommit: 525c52c501739e6df0609ed1f944c1bfd83224e7
                 uri: git+https://github.com/my-username/my-git-repo@refs/heads/main
               - digest:
                   sha256: 154fcd4d2d65c6a35b06b98053a0829c581e223d530be5719326f5d85d680e8d
                 uri: gcr.io/cloud-builders/docker@sha256:154fcd4d2d65c6a35b06b98053a0829c581e223d530be5719326f5d85d680e8d
             runDetails:
               builder:
                 id: https://cloudbuild.googleapis.com/GoogleHostedWorker
               byproducts:
               - {}
               metadata:
                 finishedOn: '2023-08-01T19:57:10.734471Z'
                 invocationId: https://cloudbuild.googleapis.com/v1/projects/my-project/locations/us-west1/builds/e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
                 startedOn: '2023-08-01T19:56:57.451553160Z'
           predicateType: https://slsa.dev/provenance/v1
           subject:
           - digest:
               sha256: 7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
             name: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image
           - digest:
               sha256: 7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
             name: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image:latest
       createTime: '2023-08-01T19:57:14.810489Z'
       envelope:
         payload: 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
         payloadType: application/vnd.in-toto+json
         signatures:
         - keyid: projects/verified-builder/locations/global/keyRings/attestor/cryptoKeys/google-hosted-worker/cryptoKeyVersions/1
           sig: MEUCIQCss8UlQL2feFePRJuKTE8VA73f85iqj4OJ9SvVPqTNwAIgYyuyuIrl1PxQC5B109thO24Y6NA4bTa0PJY34EHRSVE=
       kind: BUILD
       name: projects/my-project/occurrences/71787589-c6a6-4d6a-a030-9fd041e40468
       noteName: projects/argo-qa/notes/intoto_slsa_v1_e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
       resourceUri: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image@sha256:7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
       updateTime: '2023-08-01T19:57:14.810489Z'
     - build:
         intotoStatement:
           _type: https://in-toto.io/Statement/v0.1
           predicateType: https://slsa.dev/provenance/v0.1
           slsaProvenance:
             builder:
               id: https://cloudbuild.googleapis.com/GoogleHostedWorker@v0.3
             materials:
             - digest:
                 sha1: 525c52c501739e6df0609ed1f944c1bfd83224e7
               uri: git+https://github.com/my-username/my-git-repo
             metadata:
               buildFinishedOn: '2023-08-01T19:57:10.734471Z'
               buildInvocationId: e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
               buildStartedOn: '2023-08-01T19:56:57.451553160Z'
             recipe:
               arguments:
                 '@type': type.googleapis.com/google.devtools.cloudbuild.v1.Build
                 id: e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
                 name: projects/265426041527/locations/us-west1/builds/e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
                 options:
                   dynamicSubstitutions: true
                   logging: LEGACY
                   pool: {}
                   requestedVerifyOption: VERIFIED
                   substitutionOption: ALLOW_LOOSE
                 sourceProvenance: {}
                 steps:
                 - args:
                   - tag
                   - hello-world
                   - us-central1-docker.pkg.dev/my-project/my-repo/my-image
                   name: gcr.io/cloud-builders/docker
                   pullTiming:
                     endTime: '2023-08-01T19:57:07.231646287Z'
                     startTime: '2023-08-01T19:57:07.225609188Z'
                   status: SUCCESS
                   timing:
                     endTime: '2023-08-01T19:57:08.343864907Z'
                     startTime: '2023-08-01T19:57:07.225609188Z'
                 substitutions:
                   BRANCH_NAME: main
                   COMMIT_SHA: 525c52c501739e6df0609ed1f944c1bfd83224e7
                   REF_NAME: main
                   REPO_FULL_NAME: my-username/my-git-repo
                   REPO_NAME: my-git-repo
                   REVISION_ID: 525c52c501739e6df0609ed1f944c1bfd83224e7
                   SHORT_SHA: 525c52c
                   TRIGGER_BUILD_CONFIG_PATH: cloudbuild.yaml
                   TRIGGER_NAME: github-trigger-staging
               entryPoint: cloudbuild.yaml
               type: https://cloudbuild.googleapis.com/CloudBuildYaml@v0.1
           subject:
           - digest:
               sha256: 7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
             name: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image
           - digest:
               sha256: 7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
             name: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image:latest
       createTime: '2023-08-01T19:57:13.168653Z'
       envelope:
         payload: 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
         payloadType: application/vnd.in-toto+json
         signatures:
         - keyid: projects/verified-builder/locations/global/keyRings/attestor/cryptoKeys/provenanceSigner/cryptoKeyVersions/1
           sig: MEUCIQDsD7nX7YgnKrhgiNZXWuvSf_1AG8DgGDUAlZnjT_SB1AIgTBHZPCjTTPk3lQPAccL6WNg457QHufk9T9YB1FW5xbQ=
         - keyid: projects/argo-qa/locations/us-west1/keyRings/attestor/cryptoKeys/builtByGCB/cryptoKeyVersions/1
           sig: MEUCIQDnQmgbIcCkbDZy91HicY-IkcuV5bV_Zo0D1Y_rmsAMyQIga17tv0c_KAW3Uhv8mM2SZwY8D3YuP6TUy7QXDs2cmpA=
       kind: BUILD
       name: projects/my-project/occurrences/8b5dcf9d-4076-4b85-a934-adfb91042088
       noteName: projects/argo-qa/notes/intoto_e73ca1d4-ec4a-4ea6-acdd-ac8bb16dcc79
       resourceUri: https://us-central1-docker.pkg.dev/my-project/my-repo/my-image@sha256:7e9b6e7ba2842c91cf49f3e214d04a7a496f8214356f41d81a6e6dcad11f11e3
       updateTime: '2023-08-01T19:57:13.168653Z'
   

   Confira algumas coisas importantes neste exemplo:

   • O build foi acionado em um repositório do GitHub. Veja a confirmação correspondente no campo materials.

   • Os campos digest e fileHash se referem ao mesmo objeto. O campo digest é codificado na base 16 (codificado em hexadecimal) e o campo fileHash na base 64.

   • Há duas assinaturas no campo envelope. A primeira assinatura com o nome de chave provenanceSigner usa uma assinatura em conformidade com DSSE (formatada com codificação pré-autenticação (PAE, na sigla em inglês), link em inglês), que pode ser verificada nas políticas de autorização binária. Recomendamos que você use a assinatura em novos usos desta procedência. A segunda assinatura com o nome de chave builtByGCB é fornecida para uso legado.

   • As assinaturas que são incluídas automaticamente na procedência do Cloud Build ajudam você a verificar o serviço de build que executou uma versão. Também é possível configurar o Cloud Build para registrar metadados verificáveis sobre a conta de serviço usada para iniciar um build. Para mais informações, consulte assinar imagens de contêiner com a cosign.

Conferir a procedência do build para pools regionais

O Cloud Build não gera metadados de procedência para builds no pool regional, esteja você usando um pool particular ou um pool padrão com uma região atribuída. É possível ativar metadados de procedência para builds regionais adicionando uma opção ao seu arquivo de build. Para mais informações sobre regiões, consulte Locais de build do Cloud.

Conferir a procedência de artefatos que não são contêineres

O Cloud Build gera metadados de procedência de Supply Chain Levels for Software Artifacts (SLSA) para aplicativos Java (Maven), Python e Node.js (npm) independentes quando você faz upload dos artefatos do build no Artifact Registry.

1. Para gerar os metadados de procedência dos artefatos, execute uma compilação com o Cloud Build:

   • Criar aplicativos Java
   • Criar aplicativos Python
   • Criar aplicativos Node.js

   Quando o build for concluído, observe o BuildID.

2. Execute a seguinte chamada de API no seu terminal, em que PROJECT_ID é o ID associado ao seu projeto do Google Cloud:

   alias gcurl='curl -H"Authorization: Bearer $(gcloud auth print-access-token)"'
       gcurl 'https://containeranalysis.googleapis.com/v1/projects/PROJECT_ID/occurrences'
   

   Nas ocorrências do projeto, pesquise por BuildID para encontrar as informações de procedência associadas a cada artefato de build.

Validar procedência

Nesta seção, explicamos como validar a procedência da criação.

Validar a procedência da compilação ajuda você a:

• confirmar se os artefatos de build estão sendo gerados de fontes e builders confiáveis
• garantir que os metadados de procedência que descrevem seu processo de compilação estejam completos e autênticos

Para saber mais, consulte Builds de proteção.

Validar a procedência usando o verificador SLSA

O verificador SLSA é uma ferramenta de CLI de código aberto para validar a integridade do build com base nas especificações da SLSA.

Se o verificador encontrar problemas, ele vai retornar mensagens de erro detalhadas para ajudar você a atualizar o processo de build e reduzir os riscos.

Para usar o verificador SLSA:

1. Instale a versão 2.1 ou superior do repositório slsa-verifier:

   go install github.com/slsa-framework/slsa-verifier/v2/cli/slsa-verifier@VERSION
   

2. Na CLI, defina uma variável para o identificador de imagem:

   export IMAGE=LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH
   

   Substitua os valores de marcador no comando pelo seguinte:

   • LOCATION: local regional ou multirregional.
   • PROJECT_ID: ID do projeto do Google Cloud
   • REPOSITORY: nome do repositório.
   • IMAGE: nome da imagem.
   • HASH: o valor de hash sha256 da imagem. Você pode encontrar isso na saída do seu build.

3. Autorize a CLI gcloud para que o verificador SLSA possa acessar os dados de procedência:

   gcloud auth configure-docker LOCATION-docker.pkg.dev
   

4. Recupere a procedência da imagem e armazene-a como JSON:

   gcloud artifacts docker images describe $IMAGE --format json --show-provenance > provenance.json
   

5. Verifique a procedência:

   slsa-verifier verify-image "$IMAGE" \
   --provenance-path provenance.json \
   --source-uri SOURCE \
   --builder-id=BUILDER_ID
   

   Em que:

   • SOURCE é o URI do repositório de origem da imagem, por exemplo, github.com/username/my-application.

     Se você estiver verificando um build que não foi produzido por um acionador do Git, a origem será diferente. Por exemplo, quando você está trabalhando no código-fonte localmente, o gcloud builds submit faz o upload da sua origem para o Cloud Storage. Então, as informações de origem do Cloud Storage vão ficar assim: gs://myrepo/source/1665165300.279777-955d1904741e4bbeb3461080299e929a.tgz#1665165361152799.

   • BUILDER_ID é o ID exclusivo do builder, por exemplo, https://cloudbuild.googleapis.com/GoogleHostedWorker

   Se você quiser imprimir a procedência validada para uso em um mecanismo de política, use o comando anterior com a sinalização --print-provenance.

   A saída será semelhante a esta: PASSED: Verified SLSA provenance ou FAILED: SLSA verification failed: <error details>.

Para mais informações sobre sinalizações opcionais, consulte as opções.

Validar metadados de procedência com a CLI gcloud

Se você quiser verificar se os metadados de procedência do build não foram adulterados, valide a procedência seguindo estas etapas:

1. Crie um novo diretório e acesse-o.

   mkdir provenance && cd provenance
   

2. Usando as informações do campo keyid, acesse a chave pública.

   gcloud kms keys versions get-public-key 1 --location global --keyring attestor \
   --key builtByGCB --project verified-builder --output-file my-key.pub
   

3. O payload contém a representação JSON da procedência, codificada em base64url. Decodifique os dados e armazene-os em um arquivo.

   gcloud artifacts docker images describe \
   LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH --show-provenance \
   --format=json | jq -r '.provenance_summary.provenance[] | select(.build.intotoStatement.predicateType == "https://slsa.dev/provenance/v0.1") | .envelope.payload' | tr '\-_' '+/' | base64 -d > provenance.json
   

   Os tipos de procedência SLSA versão 0.1 e 1.0 são armazenados quando disponíveis. Se você quiser filtrar a versão 1.0, mude predicateType para usar https://slsa.dev/provenance/v1. Exemplo:

   gcloud artifacts docker images describe \
   LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH --show-provenance \
   --format=json | jq -r '.provenance_summary.provenance[] | select(.build.intotoStatement.predicateType == "https://slsa.dev/provenance/v1") | .envelope.payload' | tr '\-_' '+/' | base64 -d > provenance.json
   

4. O envelope também contém a assinatura sobre a procedência. Decodifique os dados e armazene-os em um arquivo.

   gcloud artifacts docker images describe LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH --show-provenance \
   --format=json | '.provenance_summary.provenance[] | select(.build.intotoStatement.predicateType == "https://slsa.dev/provenance/v0.1") | .envelope.signatures[0].sig' | tr '\-_' '+/' | base64 -d > signature.bin
   

   Se você quiser filtrar a versão 1.0, mude predicateType para usar https://slsa.dev/provenance/v1. Exemplo:

   gcloud artifacts docker images describe LOCATION-docker.pkg.dev/PROJECT_ID/REPOSITORY/IMAGE@sha256:HASH --show-provenance \
   --format=json | jq -r '.provenance_summary.provenance[] | select(.build.intotoStatement.predicateType == "https://slsa.dev/provenance/v1") | .envelope.signatures[0].sig' | tr '\-_' '+/' | base64 -d > signature.bin
   

5. O comando acima faz referência à primeira assinatura de procedência (.provenance_summary.provenance[0].envelope.signatures[0]), que é assinada pela chave provenanceSigner. O payload é assinado por meio do envelope formatado em PAP. Para verificá-lo, execute este comando para transformar a procedência no formato PAE esperado de "DSSEv1" + SP + LEN(type) + SP + type + SP + LEN(body) + SP + body.

   echo -n "DSSEv1 28 application/vnd.in-toto+json $(cat provenance.json | wc -c) $(cat provenance.json)" > provenance.json
   

6. Valide a assinatura.

   openssl dgst -sha256 -verify my-key.pub -signature signature.bin provenance.json
   

   Após a validação, a saída é Verified OK.

Exigir que suas imagens tenham metadados de procedência associados

Por padrão, se o Cloud Build não gerar metadados de procedência, a versão ainda será concluída com sucesso. Para substituir esse comportamento e criar versões com falha se o Cloud Build não gerar metadados de procedência para sua imagem, adicione a opção requestedVerifyOption: VERIFIED ao seu arquivo de configuração da versão.

steps:
- name: 'gcr.io/cloud-builders/docker'
  args: [ 'build', '-t', 'us-central1-docker.pkg.dev/$PROJECT_ID/quickstart-docker-repo/quickstart-image:tag1', '.' ]
images:
- 'us-central1-docker.pkg.dev/$PROJECT_ID/quickstart-docker-repo/quickstart-image:tag1'
options:
  requestedVerifyOption: VERIFIED

Depois de adicionar o requestedVerifyOption, o Cloud Build só marcará a versão como bem-sucedida se puder gerar os metadados de procedência correspondentes. Isso também afeta as imagens criadas em um pool regional, permitindo metadados de origem e geração de atestados para essas imagens.

A seguir

• Configurar o Cloud Build para rastrear quem inicia um build
• Usar a verificação de vulnerabilidades no pipeline do Cloud Build
• Saiba mais sobre o Software Delivery Shield