Configura una política de autorización binaria con GKE

Configura una política de autorización binaria con GKE

Nota: En este documento o sección, se incluyen referencias a uno o más términos que Google considera ofensivos o irrespetuosos. Los términos se usan porque son palabras clave en el software que se describe en el documento.

Los términos: whitelist

En esta guía de inicio rápido, se muestra cómo configurar y probar una regla básica en una política de autorización binaria.

En esta guía de inicio rápido, verás y configurarás la regla predeterminada en la política. La regla predeterminada permite que todas las imágenes se implementen. Para probar esto, implementa una imagen de contenedor en un clúster de Google Kubernetes Engine (GKE). Luego, configuras la regla predeterminada para inhabilitar la implementación de todas las imágenes y, luego, intentar implementar una imagen.

Nota: Esta no es una política real. Una política típica requiere que una certificación acompañe la imagen antes de que el ejecutor de Autorización Binaria permita que esta se implemente. Para obtener un instructivo de extremo a extremo sobre las certificaciones, consulta Comienza a usar la CLI o Comienza a usar Console.

Antes de comenzar

1. Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Enable the Artifact Registry, Binary Authorization APIs.

   Enable the APIs

5. Install the Google Cloud CLI.

6. To initialize the gcloud CLI, run the following command:

   gcloud init

7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

8. Make sure that billing is enabled for your Google Cloud project.

9. Enable the Artifact Registry, Binary Authorization APIs.

   Enable the APIs

10. Install the Google Cloud CLI.

11. To initialize the gcloud CLI, run the following command:

    gcloud init

12. Instala kubectl.

Nota: Esta operación puede tardar unos minutos en completarse.

Crea un clúster con la aplicación de Autorización Binaria habilitada

Ahora, crea un clúster de GKE con Autorización Binaria habilitada. Este es el clúster en el que se recomienda que se ejecuten las imágenes de contenedor que implementaste.

Autorización Binaria funciona con clústeres de Autopilot o Standard.

Consola de Google Cloud

En los siguientes pasos, se configura un clúster de Autopilot.

1. En la consola de Google Cloud, ve a la página de clústeres de Kubernetes GKE:

   Ir a GKE

2. Haz clic en Crear.

3. En Crea un clúster de Autopilot, haz lo siguiente:

   1. En el campo Nombre, ingresa test-cluster.

   2. En el menú Región, selecciona us-central1.

   3. Expande la sección Configuración avanzada.

   4. Haz clic en el vínculo Seguridad para que se muestre el panel Seguridad.

   5. En la sección Seguridad, selecciona la casilla de verificación Habilitar Autorización Binaria:

   6. Selecciona Solo aplicar.

   7. Haz clic en Siguiente y, luego, en Siguiente: Revisar y crear.

   8. Para comenzar a crear el clúster, haz clic en Crear.

gcloud

Ejecuta gcloud container clusters create con la marca --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE habilitada.

gcloud container clusters create \
    --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \
    --zone us-central1-a \
    test-cluster

Crea un clúster puede tomar varios minutos.

Política predeterminada

De forma predeterminada, la política de autorización binaria está configurada para permitir que se implementen todas las imágenes de contenedor.

Consola de Google Cloud

Para ver la política predeterminada, haz lo siguiente:

1. Ve a la página Autorización binaria (Binary Authorization) en la consola de Google Cloud.

   Ve a Autorización binaria

   En la consola, se muestran detalles de la política.

2. Haz clic en Editar política.

3. En Regla predeterminada del proyecto (Project Default Rule), está seleccionada la opción Permitir todas las imágenes (Allow All Images).

gcloud

Para ver la política predeterminada, exporta el archivo de política en formato YAML de la siguiente manera:

gcloud container binauthz policy export

De forma predeterminada, el archivo tiene el siguiente contenido:

globalPolicyEvaluationMode: ENABLE
defaultAdmissionRule:
  evaluationMode: ALWAYS_ALLOW
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
name: projects/PROJECT_ID/policy

Nota: globalPolicyEvaluationMode: ENABLE significa que las imágenes del sistema administradas por Google están exentas. Para obtener detalles, consulta globalPolicyEvaluationMode.

API de REST

Para ver la política predeterminada, recupérala en formato JSON de la siguiente manera:

curl \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "x-goog-user-project: ${PROJECT_ID}" \
    "https://binaryauthorization.googleapis.com/v1/projects/${PROJECT_ID}/policy"

El comando produce el siguiente resultado:

{
  "name": "projects/PROJECT_ID/policy",
  "globalPolicyEvaluationMode": "ENABLE",
  "defaultAdmissionRule": {
    "evaluationMode": "ALWAYS_ALLOW",
    "enforcementMode": "ENFORCED_BLOCK_AND_AUDIT_LOG"
  }
}

Nota: globalPolicyEvaluationMode: ENABLE significa que las imágenes del sistema administradas por Google están exentas. Para obtener detalles, consulta globalPolicyEvaluationMode.

Prueba la política de aplicación

Para probar la política de aplicación, intentas implementar una imagen de contenedor de muestra en el clúster.

En esta guía de inicio rápido, usarás la imagen de contenedor de muestra ubicada en la ruta gcr.io/google-samples/hello-app en Container Registry. Esta es una imagen de contenedor pública creada por Google que contiene una aplicación de muestra de Hello World.

Consola de Google Cloud

Para probar la política, haz lo siguiente:

1. Ve a la página Clústeres de GKE en la consola de Google Cloud.

   Ir a GKE

2. Haz clic en Implementar.

   La consola te solicitará que ingreses los detalles de la implementación.

3. Selecciona Imagen de contenedor existente (Existing Container Image).

4. Ingresa gcr.io/google-samples/hello-app:1.0 como la ruta de la imagen de contenedor.

5. Haz clic en Continuar.

6. Ingresa hello-server en el campo Nombre de la aplicación (Application Name).

7. Haz clic en Implementar.

kubectl

Para probar la política, haz lo siguiente:

1. Actualiza el archivo kubeconfig local:

   gcloud container clusters get-credentials \
       --zone us-central1-a \
       test-cluster
   

   Esto proporciona las credenciales y la información del extremo necesarias para acceder al clúster en GKE.

2. Implementa la imagen:

   kubectl run hello-server --image gcr.io/google-samples/hello-app:1.0 --port 8080
   

Ahora, verifica que la autorización binaria haya permitido la implementación.

Consola de Google Cloud

Para verificar que la imagen se implementó, ve a la página Cargas de trabajo de GKE en la consola de Google Cloud.

Ir a GKE

Aparece una carga de trabajo para la implementación con un ícono verde que indica que la imagen se implementó de forma correcta.

kubectl

Para verificar que se haya implementado la imagen, haz lo siguiente:

kubectl get pods

El comando imprime un mensaje similar al siguiente, que indica que la implementación se realizó de forma correcta:

NAME                            READY     STATUS    RESTARTS   AGE
hello-server-579859fb5b-h2k8s   1/1       Running   0          1m

Asegúrate de borrar la implementación para poder continuar con el siguiente paso:

Consola de Google Cloud

Para borrar la implementación, haz lo siguiente:

1. Regresa a la página Cargas de trabajo de GKE en la consola de Google Cloud.

   Ir a GKE

2. Selecciona la carga de trabajo hello-server.

3. Haz clic en Borrar.

kubectl

Para borrar la implementación, haz lo siguiente:

kubectl delete deployment hello-server

Configura la política de aplicación para inhabilitar todas las imágenes

Ahora, modifica la política para bloquear en lugar de permitir que se implementen todas las imágenes.

Consola de Google Cloud

Para modificar la política, haz lo siguiente:

1. Regresa a la página Autorización binaria (Binary Authorization) en la consola de Google Cloud.

   Ve a Autorización binaria

2. Haz clic en Editar política.

3. Selecciona Inhabilitar todas las imágenes (Disallow all images).

4. Haga clic en Guardar política.

gcloud

Para modificar la política, haz lo siguiente:

1. Exporta el archivo de políticas en formato YAML:

   gcloud container binauthz policy export  > /tmp/policy.yaml
   

2. En un editor de texto, cambia el evaluationMode de ALWAYS_ALLOW a ALWAYS_DENY.

   El archivo de políticas en formato YAML debe aparecer de la siguiente manera:

   globalPolicyEvaluationMode: ENABLE
   defaultAdmissionRule:
     evaluationMode: ALWAYS_DENY
     enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
   name: projects/PROJECT_ID/policy
   

3. Vuelve a importar el archivo de políticas en formato YAML a la autorización binaria:

   gcloud container binauthz policy import /tmp/policy.yaml
   

API de REST

Para modificar la política, haz lo siguiente:

1. Crea un archivo de texto con la política actualizada en formato JSON:

   cat > /tmp/policy.json << EOM
   {
     "name": "projects/${PROJECT_ID}/policy",
     "globalPolicyEvaluationMode": "ENABLE",
     "defaultAdmissionRule": {
       "evaluationMode": "ALWAYS_DENY",
       "enforcementMode": "ENFORCED_BLOCK_AND_AUDIT_LOG"
     }
   }
   EOM
   

2. Envía la política actualizada a la API de REST:

   curl -X PUT \
       -H "Content-Type: application/json" \
       -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
       -H "x-goog-user-project: ${PROJECT_ID}" \
       --data-binary @/tmp/policy.json  \
       "https://binaryauthorization.googleapis.com/v1/projects/${PROJECT_ID}/policy"
   

Vuelve a probar la política

Prueba la política otra vez mediante la implementación de una imagen de contenedor de muestra en el clúster. Esta vez, la autorización binaria bloquea la implementación de la imagen.

Consola de Google Cloud

Implementa la imagen:

1. Ve a la página Clústeres de GKE en la consola de Google Cloud.

   Ir a GKE

2. Haz clic en Implementar.

   La consola te solicitará que ingreses los detalles de la implementación.

3. Selecciona Imagen de contenedor existente (Existing Container Image).

4. Ingresa gcr.io/google-samples/hello-app:1.0 como la ruta de la imagen de contenedor.

5. Haz clic en Continuar.

6. Ingresa hello-server en el campo Nombre de la aplicación (Application Name).

7. Haz clic en Implementar.

kubectl

Implementa la imagen:

kubectl run hello-server --image gcr.io/google-samples/hello-app:1.0 --port 8080

Ahora puede verificar que la política se haya bloqueado:

Consola de Google Cloud

Para verificar que se haya implementado la imagen, haz lo siguiente:

Regresa a la página Cargas de trabajo de GKE en la consola de Google Cloud.

Ir a GKE

Aparecerá la carga de trabajo para la imagen de contenedor con un ícono rojo que indica que la imagen no se pudo implementar.

kubectl

Para verificar que la imagen no se haya implementado, ejecuta el siguiente comando:

kubectl get pods

El comando imprime el siguiente mensaje, que indica que la imagen no se implementó:

No resources found.

Puedes obtener más detalles sobre la implementación:

kubectl get event --template \
'{{range.items}}{{"\033[0;36m"}}{{.reason}}:{{"\033[0m"}}{{.message}}{{"\n"}}{{end}}'

Verás una respuesta similar a la siguiente:

FailedCreate: Error creating: pods POD_NAME is forbidden: admission webhook "imagepolicywebhook.image-policy.k8s.io" denied the request: Image IMAGE_NAME denied by Binary Authorization default admission rule. Denied by always_deny admission rule

En este resultado, se ilustra lo siguiente:

• POD_NAME: Es el nombre del Pod.
• IMAGE_NAME: Es el nombre de la imagen.
• ATTESTOR_NAME: Es el nombre del certificador.

Libera espacio

Sigue estos pasos para evitar que se apliquen cargos a tu cuenta de Google Cloud por los recursos que usaste en esta página.

Borra el clúster que creaste en GKE:

Console

Para borrar el clúster, haz lo siguiente:

1. Ve a la página Clústeres de GKE en la consola de Google Cloud.

   Ir a GKE

2. Selecciona el clúster test-cluster y haz clic en Borrar.

gcloud

Para borrar el clúster, haz lo siguiente:

gcloud container clusters delete \
    --zone=us-central1-a \
    test-cluster

¿Qué sigue?

• Usa el certificador built-by-cloud-build para implementar solo imágenes compiladas por Cloud Build (Vista previa).
• Para obtener un instructivo de extremo a extremo sobre cómo exigir certificaciones, consulta:
  • Comienza a usar la CLI
  • Comienza a usar la consola de Google Cloud
• Lee nuestros recursos sobre DevOps y explora el programa de investigación DevOps Research and Assessment (DORA).