Visão geral dos atestados

Neste guia, descrevemos como criar e usar atestados de autorização binária. Depois que uma imagem de contêiner é criada, um atestado pode ser criado para confirmar que uma atividade necessária foi realizada na imagem, como um teste de regressão, verificação de vulnerabilidades ou outro teste. O atestado é criado assinando o resumo exclusivo da imagem.

Durante a implantação, em vez de repetir as atividades, a autorização binária verifica os atestados usando um atestador. Se todos os atestados de uma imagem forem verificados, a autorização binária permitirá que a imagem seja implantada.

Antes de começar

1. Ative a autorização binária.

2. Configure a autorização binária com um destes produtos:

   • Autorização binária para o Google Kubernetes Engine (GKE)
   • Autorização binária para o Cloud Run
   • Autorização binária para o Google Distributed Cloud

Os usuários do Cloud Service Mesh precisam apenas configurar a política de autorização binária. Para fazer isso, consulte Configurar uma política, mais adiante neste guia.

Crie um atestador

Para usar atestados, primeiro crie atestadores. No momento da implantação, a autorização binária usa atestadores para verificar o atestado associado à imagem do contêiner.

Observação: usuários do Cloud Build podem usar o atestador built-by-cloud-build para implantar apenas imagens criadas pelo Cloud Build

.

Você pode criar atestadores usando os seguintes métodos:

• A Google Cloud CLI
• O Console do Google Cloud

Configurar uma regra de política para exigir atestados

Nesta seção, descrevemos como configurar a política para exigir atestados.

GKE

• Configure a regra padrão para exigir atestados usando os seguintes métodos:

  • O Console do Google Cloud
  • A ferramenta de linha de comando

• Configure uma regra específica do cluster para exigir atestados usando os seguintes métodos:

  • O Console do Google Cloud
  • A ferramenta de linha de comando

Cloud Run

Configure a regra padrão para exigir atestados usando um dos seguintes métodos:

• Console do Google Cloud
• A ferramenta de linha de comando

Nuvem distribuída

• Configure a regra padrão para exigir atestados usando os seguintes métodos:
  • O Console do Google Cloud
  • A ferramenta de linha de comando
• Configure uma regra específica do cluster para exigir atestados usando os seguintes métodos:
  • O Console do Google Cloud
  • A ferramenta de linha de comando

Cloud Service Mesh

Os usuários do Cloud Service Mesh podem criar regras, incluindo regras que exigem atestados, com escopo para uma identidade de serviço de malha, uma conta de serviço do Kubernetes ou um namespace do Kubernetes.

Para configurar uma regra específica, use os seguintes métodos:

• O Console do Google Cloud
• A ferramenta de linha de comando

Criar atestados

Os atestados são criados por um signatário. O processo de criação de um atestado também é conhecido como assinatura de imagem. Um signatário pode ser uma pessoa que cria manualmente um atestado. Como alternativa, um signatário pode ser um serviço automatizado. Para instruções que descrevem diferentes abordagens para criar atestados, consulte estas páginas:

• Criar atestados manualmente assinando uma imagem de contêiner.
• Criar atestados em um pipeline do Cloud Build.
• Criar atestados com base nas descobertas de vulnerabilidade do Artifact Analysis usando o Voucher.
• Criar atestados com base nas descobertas de vulnerabilidade do Artifact Analysis usando o Kritis.

Implantar uma imagem

Depois de criar um atestado, você poderá implantar a imagem associada.

GKE

Implante imagens usando o GKE.

Cloud Run

Implante imagens usando o Cloud Run.

Nuvem distribuída

Implantar imagens usando o Distributed Cloud.

Cloud Service Mesh

As cargas de trabalho do Cloud Service Mesh são aplicadas assim que a política é salva.

A seguir

• Ver registros de auditoria
• Ver os registros de auditoria de implantação forçada do Cloud Run
• Usar o intervalo (GKE)
• Usar implantação forçada (Cloud Run)
• Usar resumos de imagens em manifestos do Kubernetes