Como ativar a Autorização binária

Nota: a partir da versão 1.28 do GKE on AWS, a associação manual de políticas para autorizar a conta de serviço para a autorização binária já não é necessária. As autorizações necessárias são agora concedidas automaticamente a esta conta de serviço. Por conseguinte, pode ignorar o passo 2 nas instruções seguintes.

Para ativar a autorização binária para o GKE no AWS, siga estes passos:

1. Ative a API Binary Authorization no seu projeto:

   gcloud services enable binaryauthorization.googleapis.com \
     --project=PROJECT_ID
   

   Substitua PROJECT_ID pelo ID do seu projetoGoogle Cloud .

2. Conceda a função binaryauthorization.policyEvaluator à conta de serviço do Kubernetes associada ao agente de autorização binária:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member=serviceAccount:PROJECT_ID.svc.id.goog[gke-system/binauthz-agent] \
     --role="roles/binaryauthorization.policyEvaluator"
   

3. Ative a autorização binária quando criar ou atualizar um cluster. Certifique-se de que inclui a flag --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE, uma vez que esta flag ativa a autorização binária:

   Criar um cluster

   gcloud container aws clusters create CLUSTER_NAME \
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Substitua CLUSTER_NAME pelo nome do cluster.

   Atualizar um cluster

   gcloud container aws clusters update CLUSTER_NAME \
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Substitua CLUSTER_NAME pelo nome do cluster.

Ao seguir estes passos, garante que apenas são usadas imagens fidedignas e validadas para criar contentores do Kubernetes nos seus clusters do GKE. Isto ajuda a manter um ambiente seguro para as suas aplicações.