Configura l'applicazione dei criteri di Autorizzazione binaria

Autorizzazione binaria per Google Distributed Cloud è una funzionalità di Google Cloud che estende l'applicazione in hosting, in fase di deployment, di Autorizzazione binaria ai cluster utente on-premise. Il caso d'uso principale di Autorizzazione binaria su Google Distributed Cloud è proteggere i carichi di lavoro sui cluster utente. Segui i passaggi in questa guida per applicare ai cluster utente le regole di applicazione di un criterio di Autorizzazione binaria configurato nel progetto Google Cloud. Per saperne di più sui criteri e sulle regole di Autorizzazione binaria, consulta la panoramica di Autorizzazione binaria.

Nota: se hai abilitato Autorizzazione binaria (anteprima) per Google Distributed Cloud, disattivala ed esegui la pulizia delle risorse prima di abilitare la funzionalità GA. Utilizza le istruzioni in questo documento per abilitare la funzionalità GA sui cluster versione 1.28 o successive.

Prerequisiti

Prima di poter abilitare l'applicazione dei criteri di Autorizzazione binaria per un cluster utente, assicurati di soddisfare i seguenti criteri dei prerequisiti:

• Registra il cluster con un parco risorse: per un cluster creato con gkectl, il cluster viene registrato nel progetto Google Cloud specificato nel campo gkeConnect.projectID nel file di configurazione del cluster. Questo progetto è indicato come progetto host del parco risorse. Per scoprire di più sui parchi risorse, inclusi casi d'uso, best practice ed esempi, consulta la documentazione sulla gestione del parco risorse.

• Abilita l'API Binary Authorization nel progetto Google Cloud: attiva il servizio Autorizzazione binaria nel progetto host del parco risorse.

• Aggiungi il ruolo Valutatore criteri di autorizzazione binaria al progetto host del parco risorse: per concedere il ruolo Valutatore criteri di autorizzazione binaria (roles/binaryauthorization.policyEvaluator) all'account di servizio Kubernetes nel progetto host del parco risorse, esegui questo comando:

  gcloud projects add-iam-policy-binding PROJECT_ID \
      --member="serviceAccount:PROJECT_ID.svc.id.goog[binauthz-system/binauthz-agent]" \
      --role="roles/binaryauthorization.policyEvaluator"
  

  Se il cluster è in esecuzione dietro un server proxy, assicurati che quest'ultimo consenta le connessioni all'API Binary Authorization (binaryauthorization.googleapis.com). Questa API fornisce la convalida e il controllo del deployment basato su criteri per le immagini di cui è stato eseguito il deployment nel cluster. Per ulteriori informazioni, vedi Proxy e regole firewall.

Una volta soddisfatti i prerequisiti, puoi abilitare (o disabilitare) il criterio di Autorizzazione binaria quando crei un nuovo cluster o aggiorni un cluster esistente.

Abilita il criterio di Autorizzazione binaria durante la creazione del cluster

Puoi abilitare l'applicazione del criterio di Autorizzazione binaria con gkectl o gcloud CLI.

gkectl

Per abilitare Autorizzazione binaria quando crei un cluster con gkectl:

1. Prima di creare il cluster, aggiungi binaryAuthorization.evaluationMode al file di configurazione del cluster utente, come mostrato nell'esempio seguente:

   ...
   binaryAuthorization:
     evaluationMode: "project_singleton_policy_enforce"
   ...
   

   I valori consentiti per evaluationMode sono:

   • project_singleton_policy_enforce: applica in modo forzato le regole specificate nel criterio di Autorizzazione binaria, noto anche come criterio project-singleton, nel progetto Google Cloud per gestire il deployment delle immagini container nel cluster.

   • disabled: disabilita l'uso di Autorizzazione binaria per il cluster. Questo è il valore predefinito. Se ometti binaryAuthorization, la funzionalità viene disattivata.

2. Apporta eventuali altre modifiche al file di configurazione del cluster ed esegui il comando gkectl create cluster.

Per ulteriori informazioni sulla creazione di cluster, consulta la panoramica dell'installazione di Google Distributed Cloud.

Abilita o disabilita il criterio di Autorizzazione binaria per un cluster esistente

Se disponi di un cluster con versione 1.28 o successiva, puoi abilitare o disabilitare Autorizzazione binaria in qualsiasi momento utilizzando gkectl o gcloud CLI.

gkectl

• Per attivarla:

  1. Modifica il file di configurazione del cluster per aggiungere i campi binaryAuthorization:

     ...
     binaryAuthorization:
       evaluationMode: "project_singleton_policy_enforce"
     

  2. Aggiorna il cluster:

     gkectl update cluster \
       --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
       --config USER_CLUSTER_CONFIG_FILE \
       --force

     Sostituisci quanto segue:

     • ADMIN_CLUSTER_KUBECONFIG: il percorso del file kubeconfig del cluster di amministrazione
     • USER_CLUSTER_CONFIG_FILE: il percorso del file di configurazione del cluster utente.

  3. Attendi che il deployment denominato binauthz-module-deployment nello spazio dei nomi binauthz-system sia pronto.

     Quando il deployment è pronto, Autorizzazione binaria applica le regole specificate nel criterio di Autorizzazione binaria, note anche come criterio progetto-singleton. Questo criterio è associato al tuo progetto Google Cloud e specifica le regole per gestire il deployment delle immagini container. Per ulteriori informazioni sull'utilizzo di gkectl per aggiornare un cluster, consulta Aggiornare i cluster. Per saperne di più sui criteri e sulle regole di Autorizzazione binaria, consulta la panoramica di Autorizzazione binaria.

• Per disattivarla:

  1. Modifica il file di configurazione del cluster e rimuovi la sezione binaryAuthorization o imposta evaluationMode su disabled.

     ...
     binaryAuthorization:
       evaluationMode: "disabled"
     

  2. Aggiorna il cluster:

     gkectl update cluster \
       --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
       --config USER_CLUSTER_CONFIG_FILE \
       --force

  Dopo aver apportato questa modifica, attendi qualche minuto finché il deployment denominato binauthz-module-deployment nello spazio dei nomi binauthz-system non verrà rimosso.

Risoluzione dei problemi

Se non completi tutti i prerequisiti, potresti visualizzare un messaggio come il seguente che indica che si è verificato un problema con la configurazione di Autorizzazione binaria:

failed to validate Binary Authorization policy

(1) Ensure the Binary Authorization API is enabled for your Google Cloud project:
    gcloud services enable binaryauthorization.googleapis.com --project=PROJECT_ID
(2) Ensure an IAM policy binding is in place granting binaryauthorization.policyEvaluator role to the binauthz-system/binauthz-agent Kubernetes service account:
    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member="serviceAccount:PROJECT_ID.svc.id.goog[binauthz-system/binauthz-agent]" \
        --role=roles/binaryauthorization.policyEvaluator