チュートリアル: GitLab CI/CDでPythonパッケージをビルドして署名する

このチュートリアルでは、Pythonパッケージのセキュアなパイプラインを実装する方法について説明します。このパイプラインには、GitLab CI/CDとSigstore Cosignを使用して、Pythonパッケージを暗号で署名および検証するステージが含まれています。

このチュートリアルを終えると、次の方法を習得できます:

GitLab CI/CDを使用してPythonパッケージをビルドして署名します。
汎用パッケージレジストリを使用して、パッケージ署名を保存および管理します。
エンドユーザーとしてパッケージ署名を検証します。

パッケージ署名の利点とは何ですか？

パッケージ署名は、いくつかの重要なセキュリティ上の利点を提供します:

信頼性: ユーザーは、パッケージが信頼できるソースからのものであることを検証できます。
データの整合性: 配布中にパッケージが改ざんされた場合、それが検出されます。
否認防止: パッケージのオリジンを暗号で証明できます。
サプライチェーンセキュリティ: パッケージ署名は、サプライチェーン攻撃や侵害されたリポジトリから保護します。

はじめる前

このチュートリアルを完了するには、以下が必要です:

GitLabアカウントとテストGitLabプロジェクト。
Pythonパッケージ、GitLab CI/CD、およびパッケージレジストリの概念に関する基本的な知識。

ステップ

以下は、実行する手順の概要です:

Pythonプロジェクトをセットアップします

まず、テストプロジェクトを作成します。プロジェクトのルートにpyproject.tomlファイルを追加します:

[build-system]
requires = ["setuptools>=45", "wheel"]
build-backend = "setuptools.build_meta"

[project]
name = "<my_package>"  # Will be dynamically replaced by CI/CD pipeline
version = "<1.0.0>"    # Will be dynamically replaced by CI/CD pipeline
description = "<Your package description>"
readme = "README.md"
requires-python = ">=3.7"
authors = [
    {name = "<Your Name>", email = "<your.email@example.com>"},
]

[project.urls]
"Homepage" = "<https://gitlab.com/my_package>"  # Will be replaced with actual project URL

Your Nameとyour.email@example.comを自分の個人詳細に置き換えてください。

以下の手順でCI/CDパイプラインのビルドを完了すると、パイプラインは自動的に次のようになります:

my_packageを、正規化されたバージョンのプロジェクト名に置き換えます。
versionをパイプラインのバージョンに一致するように変更します。
Homepage URLをGitLabプロジェクトURLに一致するように変更します。

基本設定を追加

プロジェクトのルートに.gitlab-ci.ymlファイルを追加します。次の設定を追加します:

variables:
  # Base Python version for all jobs
  PYTHON_VERSION: '3.10'
  # Package names and versions
  PACKAGE_NAME: ${CI_PROJECT_NAME}
  PACKAGE_VERSION: "1.0.0"  # Use semantic versioning
  # Sigstore service URLs
  FULCIO_URL: 'https://fulcio.sigstore.dev'
  REKOR_URL: 'https://rekor.sigstore.dev'
  # Identity for Sigstore verification
  CERTIFICATE_IDENTITY: 'https://gitlab.com/${CI_PROJECT_PATH}//.gitlab-ci.yml@refs/heads/${CI_DEFAULT_BRANCH}'
  CERTIFICATE_OIDC_ISSUER: 'https://gitlab.com'
  # Pip cache directory for faster builds
  PIP_CACHE_DIR: "$CI_PROJECT_DIR/.pip-cache"
  # Auto-accept prompts from Cosign
  COSIGN_YES: "true"
  # Base URL for generic package registry
  GENERIC_PACKAGE_BASE_URL: "${CI_API_V4_URL}/projects/${CI_PROJECT_ID}/packages/generic/${PACKAGE_NAME}/${PACKAGE_VERSION}"

default:
  before_script:
    # Normalize package name once at the start of any job
    - export NORMALIZED_NAME=$(echo "${CI_PROJECT_NAME}" | tr '-' '_')

# Template for Python-based jobs
.python-job:
  image: python:${PYTHON_VERSION}
  before_script:
    # First normalize package name
    - export NORMALIZED_NAME=$(echo "${CI_PROJECT_NAME}" | tr '-' '_')
    # Then install Python dependencies
    - pip install --upgrade pip
    - pip install build twine setuptools wheel
  cache:
    paths:
      - ${PIP_CACHE_DIR}

# Template for Python + Cosign jobs
.python+cosign-job:
  extends: .python-job
  before_script:
    # First normalize package name
    - export NORMALIZED_NAME=$(echo "${CI_PROJECT_NAME}" | tr '-' '_')
    # Then install dependencies
    - apt-get update && apt-get install -y curl wget
    - wget -O cosign https://github.com/sigstore/cosign/releases/download/v2.2.3/cosign-linux-amd64
    - chmod +x cosign && mv cosign /usr/local/bin/
    - export COSIGN_EXPERIMENTAL=1
    - pip install --upgrade pip
    - pip install build twine setuptools wheel
stages:
  - build
  - sign
  - verify
  - publish
  - publish_signatures
  - consumer_verification

この基本設定:

一貫性のために、Python 3.10をベースイメージとして使用するようにパイプラインに指示します
2つの再利用可能なテンプレートをセットアップします。基本的なPython操作には.python-job、署名操作には.python+cosign-job。
ビルドを高速化するためにPipキャッシュを実装します
ハイフンをアンダースコアに変換して、Pythonとの互換性を実現することにより、パッケージ名を正規化します
管理を容易にするために、すべてのキー変数をパイプラインレベルで定義します