閉域網イメージ搬入パイプライン設計 — skopeo、Harbor、そして腐らない再搬入ランブック

# images.yaml — 搬入リストの正本。このファイルのdiffがそのまま搬入申請書です。
docker.io:
  images:
    library/postgres:
      - '16.4'
      - '16.6'
    library/redis:
      - '7.4.1'
  images-by-tag-regex:
    library/busybox: ^1\.36.*$
registry.k8s.io:
  images:
    ingress-nginx/controller:
      - 'v1.12.0'
    metrics-server/metrics-server:
      - 'v0.7.2'
quay.io:
  tls-verify: true
  images:
    prometheus/prometheus:
      - 'v3.1.0'
    prometheus/node-exporter:
      - 'v1.8.2'
ghcr.io:
  images:
    aquasecurity/trivy:
      - '0.58.1'

# タグが指すダイジェストをリストと一緒に固定します
skopeo inspect docker://docker.io/library/postgres:16.6 \
  | jq -r '.Digest' \
  | tee -a DIGESTS.txt

#!/usr/bin/env bash
# collect.sh — DMZ収集機器
set -euo pipefail

BATCH="$(date +%Y%m%d)"
OUT="/staging/inbound/${BATCH}"
mkdir -p "${OUT}"

# リストファイル一つで複数のレジストリを一度に取り出します。
# --scoped を付けると元のレジストリ経路が接頭辞として付き、名前の衝突がなくなります。
skopeo sync \
  --src yaml \
  --dest dir \
  --scoped \
  --all \
  --keep-going \
  images.yaml "${OUT}"

du -sh "${OUT}"
find "${OUT}" -maxdepth 3 -type d | head -30

# メディア搬入用アーカイブとマニフェスト
cd /staging/inbound
tar -cf "images-${BATCH}.tar" "${BATCH}"
sha256sum "images-${BATCH}.tar" > "images-${BATCH}.sha256"

# 搬入申請書に添付するリストのスナップショット
cp images.yaml "images-${BATCH}.manifest.yaml"
cp DIGESTS.txt "images-${BATCH}.digests.txt"

# 任意のファイルをOCIアーティファクトとして押し込む(oras 1.3基準)
oras push --artifact-type application/vnd.example.policy.v1+tar \
  registry.internal.example:5000/policies/kyverno:2026.07 \
  policies.tar.gz

# ファイルごとにメディアタイプを指定することもできます
oras push registry.internal.example:5000/bundles/edge:2026.07 \
  bundle.tar:application/vnd.example.bundle \
  README.md:text/markdown

# OCIレイアウトディレクトリとして取り出す — メディアで運ぶのに適した形態
oras push --oci-layout /staging/inbound/20260731/oci:policies-2026.07 policies.tar.gz

#!/usr/bin/env bash
# collect-trivy-db.sh — DMZ収集機器
set -euo pipefail
BATCH="$(date +%Y%m%d)"
mkdir -p "/staging/inbound/${BATCH}/trivy" && cd "/staging/inbound/${BATCH}/trivy"

# 公式文書が明示するリポジトリとタグ
oras pull ghcr.io/aquasecurity/trivy-db:2
oras pull ghcr.io/aquasecurity/trivy-java-db:1
oras pull ghcr.io/aquasecurity/trivy-checks:latest

ls -la
sha256sum ./* > TRIVY-DB.sha256

# 閉域網内部 — 社内レジストリへ押し込む(公式文書の例の形態)
oras push registry.internal.example:5000/trivy/trivy-db:2 db.tar.gz
oras push registry.internal.example:5000/trivy/trivy-java-db:1 javadb.tar.gz
oras push registry.internal.example:5000/trivy/trivy-checks:latest ./checks/

# スキャン — 社内リポジトリを見るよう指定します
trivy image \
  --db-repository registry.internal.example:5000/trivy/trivy-db \
  --java-db-repository registry.internal.example:5000/trivy/trivy-java-db \
  --checks-bundle-repository registry.internal.example:5000/trivy/trivy-checks \
  registry.internal.example:5000/apps/api:1.4.2

# 搬入したバイナリで実際のフラグ名を確認します — 推測しないでください
trivy image --help | grep -iE 'db|offline|cache'
trivy --version

# DMZ区間 — 検査を通過したイメージに社内鍵で署名
cosign sign --key /secure/cosign.key \
  registry.dmz.example:5000/apps/api@sha256:abc123...

# 公開鍵を搬入マニフェストに一緒に入れます
cp /secure/cosign.pub "/staging/inbound/${BATCH}/cosign.pub"

# 閉域網内部 — ローカルの公開鍵で検証
cosign verify --key /etc/cosign/cosign.pub \
  registry.internal.example:5000/apps/api:1.4.2

# ローカルにダウンロードしたイメージを検証
cosign verify --key cosign.pub --local-image /staging/inbound/20260731/apps-api

# 透明性ログの対照を飛ばし、鍵とペイロードだけを検証
cosign verify --check-claims=false --key cosign.pub registry.internal.example:5000/apps/api:1.4.2

# 収集時点でSBOMを一緒に生成してメディアに入れます
trivy image --format cyclonedx \
  --output "sbom/apps-api-1.4.2.cdx.json" \
  registry.dmz.example:5000/apps/api:1.4.2

# SBOMをOCIアーティファクトとして一緒に搬入
oras push --artifact-type application/vnd.cyclonedx+json \
  registry.internal.example:5000/sbom/apps-api:1.4.2 \
  "sbom/apps-api-1.4.2.cdx.json"

# DMZ収集 — 外部チャートをtgzで受け取っておきます
helm pull oci://registry-1.docker.io/bitnamicharts/postgresql --version 16.4.5 -d ./charts
helm pull https://prometheus-community.github.io/helm-charts/prometheus-25.27.0.tgz -d ./charts
sha256sum ./charts/*.tgz > CHARTS.sha256

# 閉域網内部 — 社内レジストリへプッシュ
helm registry login registry.internal.example:5000
helm push ./charts/postgresql-16.4.5.tgz oci://registry.internal.example:5000/charts
helm push ./charts/prometheus-25.27.0.tgz oci://registry.internal.example:5000/charts

# インストール — oci参照にはバージョン指定が必要です
helm show all oci://registry.internal.example:5000/charts/postgresql --version 16.4.5
helm template pg oci://registry.internal.example:5000/charts/postgresql --version 16.4.5
helm install pg oci://registry.internal.example:5000/charts/postgresql --version 16.4.5

# チャートが参照するイメージ一覧の抽出 — 搬入リストに反映する根拠
helm template tmp ./charts/postgresql-16.4.5.tgz \
  | grep -E '^\s+image:' \
  | awk '{print $2}' \
  | tr -d '"' \
  | sort -u

helm template tmp ./charts/postgresql-16.4.5.tgz -f values-prod.yaml \
  | grep -E '^\s+image:' | awk '{print $2}' | tr -d '"' | sort -u

#!/usr/bin/env bash
# reimport.sh — DMZ収集機器で周期実行
set -euo pipefail

BATCH="$(date +%Y%m%d)"
PREV="$(ls -1d /staging/inbound/20* | sort | tail -1)"
OUT="/staging/inbound/${BATCH}"
mkdir -p "${OUT}"

echo "== 1. 現在のタグのダイジェストを算出"
: > "${OUT}/DIGESTS.txt"
while read -r ref; do
  [ -z "${ref}" ] && continue
  d=$(skopeo inspect "docker://${ref}" 2>/dev/null | jq -r '.Digest') || d="ERROR"
  echo "${ref} ${d}" >> "${OUT}/DIGESTS.txt"
done < refs.txt

echo "== 2. 直前の搬入との差分"
if [ -f "${PREV}/DIGESTS.txt" ]; then
  diff "${PREV}/DIGESTS.txt" "${OUT}/DIGESTS.txt" > "${OUT}/CHANGES.diff" || true
  CHANGED=$(grep -c '^>' "${OUT}/CHANGES.diff" || true)
  echo "変更された参照: ${CHANGED}件"
  if [ "${CHANGED}" -eq 0 ]; then
    echo "変更なし — 今回の搬入を省略"
    exit 0
  fi
fi

echo "== 3. 変更分のみ収集"
skopeo sync --src yaml --dest dir --scoped --all --keep-going images.yaml "${OUT}/images"

echo "== 4. スキャンとSBOM"
mkdir -p "${OUT}/sbom" "${OUT}/scan"
while read -r ref _; do
  name=$(echo "${ref}" | tr '/:' '__')
  trivy image --format cyclonedx --output "${OUT}/sbom/${name}.cdx.json" "${ref}" || true
  trivy image --severity HIGH,CRITICAL --format json \
    --output "${OUT}/scan/${name}.json" "${ref}" || true
done < "${OUT}/DIGESTS.txt"

echo "== 5. 審議提出用アーカイブ"
cd /staging/inbound
tar -cf "batch-${BATCH}.tar" "${BATCH}"
sha256sum "batch-${BATCH}.tar" > "batch-${BATCH}.sha256"
echo "提出準備完了: batch-${BATCH}.tar"

#!/usr/bin/env bash
# ingest.sh — 閉域網内部
set -euo pipefail
BATCH="$1"
SRC="/media/inbound/batch-${BATCH}.tar"

sha256sum -c "/media/inbound/batch-${BATCH}.sha256"
mkdir -p "/opt/inbound" && tar -xf "${SRC}" -C /opt/inbound

# ディレクトリ形態で入ってきたイメージを配布レジストリへ
skopeo sync --src dir --dest docker \
  "/opt/inbound/${BATCH}/images" registry.internal.example:5000/mirror/

# 搬入台帳に記録 — 後で「いつ何が入ったか」の唯一の根拠
{
  echo "batch=${BATCH} at=$(date -Iseconds) by=${USER}"
  cat "/opt/inbound/${BATCH}/DIGESTS.txt"
} >> /var/log/airgap-ingest.log