폐쇄망 이미지 반입 파이프라인 설계 — skopeo, Harbor, 그리고 썩지 않는 재반입 런북

# images.yaml — 반입 목록 정본. 이 파일의 diff 가 곧 반입 신청서입니다.
docker.io:
  images:
    library/postgres:
      - '16.4'
      - '16.6'
    library/redis:
      - '7.4.1'
  images-by-tag-regex:
    library/busybox: ^1\.36.*$
registry.k8s.io:
  images:
    ingress-nginx/controller:
      - 'v1.12.0'
    metrics-server/metrics-server:
      - 'v0.7.2'
quay.io:
  tls-verify: true
  images:
    prometheus/prometheus:
      - 'v3.1.0'
    prometheus/node-exporter:
      - 'v1.8.2'
ghcr.io:
  images:
    aquasecurity/trivy:
      - '0.58.1'

# 태그가 가리키는 다이제스트를 목록과 함께 고정합니다
skopeo inspect docker://docker.io/library/postgres:16.6 \
  | jq -r '.Digest' \
  | tee -a DIGESTS.txt

#!/usr/bin/env bash
# collect.sh — DMZ 수집 장비
set -euo pipefail

BATCH="$(date +%Y%m%d)"
OUT="/staging/inbound/${BATCH}"
mkdir -p "${OUT}"

# 목록 파일 하나로 여러 레지스트리를 한 번에 떠냅니다.
# --scoped 를 붙이면 원본 레지스트리 경로가 접두어로 붙어 이름 충돌이 사라집니다.
skopeo sync \
  --src yaml \
  --dest dir \
  --scoped \
  --all \
  --keep-going \
  images.yaml "${OUT}"

du -sh "${OUT}"
find "${OUT}" -maxdepth 3 -type d | head -30

# 매체 반입용 아카이브와 매니페스트
cd /staging/inbound
tar -cf "images-${BATCH}.tar" "${BATCH}"
sha256sum "images-${BATCH}.tar" > "images-${BATCH}.sha256"

# 반입 신청서에 첨부할 목록 스냅샷
cp images.yaml "images-${BATCH}.manifest.yaml"
cp DIGESTS.txt "images-${BATCH}.digests.txt"

# 임의 파일을 OCI 아티팩트로 밀어 넣기 (oras 1.3 기준)
oras push --artifact-type application/vnd.example.policy.v1+tar \
  registry.internal.example:5000/policies/kyverno:2026.07 \
  policies.tar.gz

# 파일별로 미디어 타입을 지정할 수도 있습니다
oras push registry.internal.example:5000/bundles/edge:2026.07 \
  bundle.tar:application/vnd.example.bundle \
  README.md:text/markdown

# OCI 레이아웃 디렉터리로 떠내기 — 매체로 나르기에 적합한 형태
oras push --oci-layout /staging/inbound/20260731/oci:policies-2026.07 policies.tar.gz

#!/usr/bin/env bash
# collect-trivy-db.sh — DMZ 수집 장비
set -euo pipefail
BATCH="$(date +%Y%m%d)"
mkdir -p "/staging/inbound/${BATCH}/trivy" && cd "/staging/inbound/${BATCH}/trivy"

# 공식 문서가 명시한 저장소와 태그
oras pull ghcr.io/aquasecurity/trivy-db:2
oras pull ghcr.io/aquasecurity/trivy-java-db:1
oras pull ghcr.io/aquasecurity/trivy-checks:latest

ls -la
sha256sum ./* > TRIVY-DB.sha256

# 폐쇄망 내부 — 사내 레지스트리로 밀어 넣기 (공식 문서의 예시 형태)
oras push registry.internal.example:5000/trivy/trivy-db:2 db.tar.gz
oras push registry.internal.example:5000/trivy/trivy-java-db:1 javadb.tar.gz
oras push registry.internal.example:5000/trivy/trivy-checks:latest ./checks/

# 스캔 — 사내 저장소를 바라보게 지정합니다
trivy image \
  --db-repository registry.internal.example:5000/trivy/trivy-db \
  --java-db-repository registry.internal.example:5000/trivy/trivy-java-db \
  --checks-bundle-repository registry.internal.example:5000/trivy/trivy-checks \
  registry.internal.example:5000/apps/api:1.4.2

# 반입한 바이너리에서 실제 플래그 이름을 확인합니다 — 추측하지 마십시오
trivy image --help | grep -iE 'db|offline|cache'
trivy --version

# DMZ 구간 — 검사를 통과한 이미지에 사내 키로 서명
cosign sign --key /secure/cosign.key \
  registry.dmz.example:5000/apps/api@sha256:abc123...

# 공개 키를 반입 매니페스트에 함께 넣습니다
cp /secure/cosign.pub "/staging/inbound/${BATCH}/cosign.pub"

# 폐쇄망 내부 — 로컬 공개 키로 검증
cosign verify --key /etc/cosign/cosign.pub \
  registry.internal.example:5000/apps/api:1.4.2

# 로컬로 내려받은 이미지 검증
cosign verify --key cosign.pub --local-image /staging/inbound/20260731/apps-api

# 투명성 로그 대조를 건너뛰고 키와 페이로드만 검증
cosign verify --check-claims=false --key cosign.pub registry.internal.example:5000/apps/api:1.4.2

# 수집 시점에 SBOM 을 함께 생성해 매체에 담습니다
trivy image --format cyclonedx \
  --output "sbom/apps-api-1.4.2.cdx.json" \
  registry.dmz.example:5000/apps/api:1.4.2

# SBOM 을 OCI 아티팩트로 함께 반입
oras push --artifact-type application/vnd.cyclonedx+json \
  registry.internal.example:5000/sbom/apps-api:1.4.2 \
  "sbom/apps-api-1.4.2.cdx.json"

# DMZ 수집 — 외부 차트를 tgz 로 받아 둡니다
helm pull oci://registry-1.docker.io/bitnamicharts/postgresql --version 16.4.5 -d ./charts
helm pull https://prometheus-community.github.io/helm-charts/prometheus-25.27.0.tgz -d ./charts
sha256sum ./charts/*.tgz > CHARTS.sha256

# 폐쇄망 내부 — 사내 레지스트리로 푸시
helm registry login registry.internal.example:5000
helm push ./charts/postgresql-16.4.5.tgz oci://registry.internal.example:5000/charts
helm push ./charts/prometheus-25.27.0.tgz oci://registry.internal.example:5000/charts

# 설치 — oci 참조에는 버전 지정이 필요합니다
helm show all oci://registry.internal.example:5000/charts/postgresql --version 16.4.5
helm template pg oci://registry.internal.example:5000/charts/postgresql --version 16.4.5
helm install pg oci://registry.internal.example:5000/charts/postgresql --version 16.4.5

# 차트가 참조하는 이미지 목록 추출 — 반입 목록에 반영할 근거
helm template tmp ./charts/postgresql-16.4.5.tgz \
  | grep -E '^\s+image:' \
  | awk '{print $2}' \
  | tr -d '"' \
  | sort -u

helm template tmp ./charts/postgresql-16.4.5.tgz -f values-prod.yaml \
  | grep -E '^\s+image:' | awk '{print $2}' | tr -d '"' | sort -u

#!/usr/bin/env bash
# reimport.sh — DMZ 수집 장비에서 주기 실행
set -euo pipefail

BATCH="$(date +%Y%m%d)"
PREV="$(ls -1d /staging/inbound/20* | sort | tail -1)"
OUT="/staging/inbound/${BATCH}"
mkdir -p "${OUT}"

echo "== 1. 현재 태그의 다이제스트 산출"
: > "${OUT}/DIGESTS.txt"
while read -r ref; do
  [ -z "${ref}" ] && continue
  d=$(skopeo inspect "docker://${ref}" 2>/dev/null | jq -r '.Digest') || d="ERROR"
  echo "${ref} ${d}" >> "${OUT}/DIGESTS.txt"
done < refs.txt

echo "== 2. 직전 반입과의 차이"
if [ -f "${PREV}/DIGESTS.txt" ]; then
  diff "${PREV}/DIGESTS.txt" "${OUT}/DIGESTS.txt" > "${OUT}/CHANGES.diff" || true
  CHANGED=$(grep -c '^>' "${OUT}/CHANGES.diff" || true)
  echo "변경된 참조: ${CHANGED}건"
  if [ "${CHANGED}" -eq 0 ]; then
    echo "변경 없음 — 이번 회차 반입 생략"
    exit 0
  fi
fi

echo "== 3. 변경분만 수집"
skopeo sync --src yaml --dest dir --scoped --all --keep-going images.yaml "${OUT}/images"

echo "== 4. 스캔 및 SBOM"
mkdir -p "${OUT}/sbom" "${OUT}/scan"
while read -r ref _; do
  name=$(echo "${ref}" | tr '/:' '__')
  trivy image --format cyclonedx --output "${OUT}/sbom/${name}.cdx.json" "${ref}" || true
  trivy image --severity HIGH,CRITICAL --format json \
    --output "${OUT}/scan/${name}.json" "${ref}" || true
done < "${OUT}/DIGESTS.txt"

echo "== 5. 심의 제출용 아카이브"
cd /staging/inbound
tar -cf "batch-${BATCH}.tar" "${BATCH}"
sha256sum "batch-${BATCH}.tar" > "batch-${BATCH}.sha256"
echo "제출 준비 완료: batch-${BATCH}.tar"

#!/usr/bin/env bash
# ingest.sh — 폐쇄망 내부
set -euo pipefail
BATCH="$1"
SRC="/media/inbound/batch-${BATCH}.tar"

sha256sum -c "/media/inbound/batch-${BATCH}.sha256"
mkdir -p "/opt/inbound" && tar -xf "${SRC}" -C /opt/inbound

# 디렉터리 형태로 들어온 이미지를 배포 레지스트리로
skopeo sync --src dir --dest docker \
  "/opt/inbound/${BATCH}/images" registry.internal.example:5000/mirror/

# 반입 대장에 기록 — 나중에 "언제 무엇이 들어왔는가"의 유일한 근거
{
  echo "batch=${BATCH} at=$(date -Iseconds) by=${USER}"
  cat "/opt/inbound/${BATCH}/DIGESTS.txt"
} >> /var/log/airgap-ingest.log