Configura un criterio di Autorizzazione binaria con GKE
Questa guida rapida mostra come configurare e testare una rule in un criterio di Autorizzazione binaria.
In questa guida rapida, visualizzerai e configurerai la regola predefinita nel criterio. La predefinita consente di eseguire il deployment di tutte le immagini. Esegui il test eseguendo il deployment su un cluster Google Kubernetes Engine (GKE). Imposta quindi la regola predefinita per impedire il deployment di tutte le immagini di eseguire il deployment di un'immagine.
Prima di iniziare
- Accedi al tuo account Google Cloud. Se non conosci Google Cloud, crea un account per valutare le prestazioni dei nostri prodotti in scenari reali. I nuovi clienti ricevono anche 300 $di crediti gratuiti per l'esecuzione, il test e il deployment dei carichi di lavoro.
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.
-
Enable the Artifact Registry, Binary Authorization APIs.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
-
In the Google Cloud console, on the project selector page, select or create a Google Cloud project.
-
Assicurati che la fatturazione sia attivata per il tuo progetto Google Cloud.
-
Enable the Artifact Registry, Binary Authorization APIs.
- Install the Google Cloud CLI.
-
To initialize the gcloud CLI, run the following command:
gcloud init
- Installa
kubectl
.
Crea un cluster con l'applicazione di Autorizzazione binaria abilitata
Ora crei un cluster GKE con Autorizzazione binaria. in un bucket in cui è abilitato il controllo delle versioni. Questo è il cluster in cui vuoi che venga eseguito il deployment delle immagini container vengono eseguiti tutti i test delle unità.
Autorizzazione binaria funziona con Autopilot o Standard cluster.
Console Google Cloud
I passaggi seguenti configurano un cluster Autopilot.
Nella console Google Cloud, vai a GKE Pagina Cluster Kubernetes:
Fai clic su Crea.
In Crea un cluster Autopilot, segui questi passaggi:
Nel campo Nome, inserisci
test-cluster
.Nel menu Regione, seleziona
us-central1
.Espandi la sezione Impostazioni avanzate.
Fai clic sul link Sicurezza per visualizzare il riquadro Sicurezza.
Nel riquadro Sicurezza, seleziona Attiva Autorizzazione binaria. casella di controllo.
Seleziona Solo applicazione forzata.
Fai clic su Avanti e poi su Successivo:rivedi e crea.
Per iniziare a creare il cluster, fai clic su Crea.
gcloud
Corri gcloud container clusters create
con il --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
abilitato.
gcloud container clusters create \ --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \ --zone us-central1-a \ test-cluster
La creazione di un cluster può richiedere diversi minuti.
Criterio predefinito
Per impostazione predefinita, il criterio di Autorizzazione binaria è configurato in modo da consentire delle immagini container di cui eseguire il deployment.
Console Google Cloud
Per visualizzare il criterio predefinito:
Vai alla pagina Autorizzazione binaria nella console Google Cloud.
Nella console vengono visualizzati i dettagli del criterio.
Fai clic su Modifica criterio.
In Regola predefinita del progetto, l'opzione Consenti tutte le immagini è selezionato.
gcloud
Per visualizzare il criterio predefinito, esporta il file YAML del criterio come segue:
gcloud container binauthz policy export
Per impostazione predefinita, il file ha i seguenti contenuti:
globalPolicyEvaluationMode: ENABLE defaultAdmissionRule: evaluationMode: ALWAYS_ALLOW enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG name: projects/PROJECT_ID/policy
API REST
Per visualizzare il criterio predefinito, recuperalo in formato JSON come segue:
curl \ -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \ -H "x-goog-user-project: ${PROJECT_ID}" \ "https://binaryauthorization.googleapis.com/v1/projects/${PROJECT_ID}/policy"
Il comando produce il seguente output:
{ "name": "projects/PROJECT_ID/policy", "globalPolicyEvaluationMode": "ENABLE", "defaultAdmissionRule": { "evaluationMode": "ALWAYS_ALLOW", "enforcementMode": "ENFORCED_BLOCK_AND_AUDIT_LOG" } }
Testa il criterio di applicazione
Puoi testare il criterio di applicazione provando a eseguire il deployment di un'immagine container di esempio nel cluster.
Per questa guida rapida, utilizzerai l'immagine container di esempio che si trova nel percorso
gcr.io/google-samples/hello-app
in Container Registry. Questo è un elenco pubblico
un'immagine container creata da Google contenente un messaggio "Hello, World!" esempio
un'applicazione.
Console Google Cloud
Per testare il criterio:
Vai alla pagina Cluster di GKE nella console Google Cloud.
Fai clic su Esegui il deployment.
La console ti chiede di inserire i dettagli del deployment.
Seleziona Immagine container esistente.
Inserisci
gcr.io/google-samples/hello-app:1.0
come percorso dell'immagine container.Fai clic su Continua.
Inserisci
hello-server
nel campo Nome applicazione.Fai clic su Esegui il deployment.
kubectl
Per testare il criterio:
Aggiorna il file
kubeconfig
locale:gcloud container clusters get-credentials \ --zone us-central1-a \ test-cluster
In questo modo avrai a disposizione le credenziali e le informazioni sugli endpoint per accedere al cluster in GKE.
Esegui il deployment dell'immagine:
kubectl run hello-server --image gcr.io/google-samples/hello-app:1.0 --port 8080
Ora verifica che il deployment sia consentito da Autorizzazione binaria.
Console Google Cloud
Per verificare che il deployment dell'immagine sia stato eseguito, vai a GKE Pagina Carichi di lavoro nella console Google Cloud.
Un carico di lavoro del deployment viene visualizzato con un'icona verde che indica che il deployment dell'immagine è stato eseguito correttamente.
kubectl
Per verificare che sia stato eseguito il deployment dell'immagine, segui questi passaggi:
kubectl get pods
Il comando visualizza un messaggio simile al seguente, che indica che deployment riuscito:
NAME READY STATUS RESTARTS AGE hello-server-579859fb5b-h2k8s 1/1 Running 0 1m
Assicurati di eliminare il deployment per poter andare al passaggio successivo:
Console Google Cloud
Per eliminare il deployment, segui questi passaggi:
Torna alla pagina Carichi di lavoro di GKE in nella console Google Cloud.
Seleziona il carico di lavoro
hello-server
.Fai clic su Elimina.
kubectl
Per eliminare il deployment, segui questi passaggi:
kubectl delete deployment hello-server
Configura il criterio di applicazione in modo da non consentire tutte le immagini
Ora modifica il criterio in modo da bloccare il deployment invece di consentire il deployment di tutte le immagini.
Console Google Cloud
Per modificare il criterio:
Torna alla pagina Autorizzazione binaria nella console Google Cloud.
Fai clic su Modifica criterio.
Seleziona Non consentire tutte le immagini.
Fai clic su Save Policy (Salva criterio).
gcloud
Per modificare il criterio:
Esporta il file YAML del criterio:
gcloud container binauthz policy export > /tmp/policy.yaml
In un editor di testo, cambia
evaluationMode
daALWAYS_ALLOW
aALWAYS_DENY
.Il file YAML del criterio dovrebbe essere visualizzato come segue:
globalPolicyEvaluationMode: ENABLE defaultAdmissionRule: evaluationMode: ALWAYS_DENY enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG name: projects/PROJECT_ID/policy
Importa di nuovo il file YAML del criterio in Autorizzazione binaria:
gcloud container binauthz policy import /tmp/policy.yaml
API REST
Per modificare il criterio:
Crea un file di testo con il criterio aggiornato in formato JSON:
cat > /tmp/policy.json << EOM { "name": "projects/${PROJECT_ID}/policy", "globalPolicyEvaluationMode": "ENABLE", "defaultAdmissionRule": { "evaluationMode": "ALWAYS_DENY", "enforcementMode": "ENFORCED_BLOCK_AND_AUDIT_LOG" } } EOM
Invia il criterio aggiornato all'API REST:
curl -X PUT \ -H "Content-Type: application/json" \ -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \ -H "x-goog-user-project: ${PROJECT_ID}" \ --data-binary @/tmp/policy.json \ "https://binaryauthorization.googleapis.com/v1/projects/${PROJECT_ID}/policy"
Ripeti il test del criterio
Anche in questo caso, testa il criterio eseguendo il deployment di un'immagine container di esempio nel cluster. Questa volta, Autorizzazione binaria blocca il deployment dell'immagine.
Console Google Cloud
Esegui il deployment dell'immagine:
Vai alla pagina Cluster di GKE nella console Google Cloud.
Fai clic su Esegui il deployment.
La console ti chiede di inserire i dettagli del deployment.
Seleziona Immagine container esistente.
Inserisci
gcr.io/google-samples/hello-app:1.0
come percorso dell'immagine container.Fai clic su Continua.
Inserisci
hello-server
nel campo Nome applicazione.Fai clic su Esegui il deployment.
kubectl
Esegui il deployment dell'immagine:
kubectl run hello-server --image gcr.io/google-samples/hello-app:1.0 --port 8080
Ora puoi verificare che il criterio sia stato bloccato:
Console Google Cloud
Per verificare che il deployment dell'immagine non sia stato eseguito, segui questi passaggi:
Torna alla pagina Carichi di lavoro di GKE in nella console Google Cloud.
Il carico di lavoro per l'immagine container viene visualizzato con un'icona rossa che indica che non è stato possibile eseguire il deployment dell'immagine.
kubectl
Per verificare che il deployment dell'immagine non sia stato eseguito, esegui questo comando:
kubectl get pods
Il comando visualizza il seguente messaggio, che indica che l'immagine non è stato eseguito il deployment:
No resources found.
Puoi ottenere ulteriori dettagli sul deployment:
kubectl get event --template \ '{{range.items}}{{"\033[0;36m"}}{{.reason}}:{{"\033[0m"}}{{.message}}{{"\n"}}{{end}}'
Verrà visualizzata una risposta simile alla seguente:
FailedCreate: Error creating: pods POD_NAME is forbidden: admission webhook "imagepolicywebhook.image-policy.k8s.io" denied the request: Image IMAGE_NAME denied by Binary Authorization default admission rule. Denied by always_deny admission rule
In questo output:
- POD_NAME: il nome del pod.
- IMAGE_NAME: il nome dell'immagine.
- ATTESTOR_NAME: il nome dell'attestatore.
Esegui la pulizia
Per evitare che al tuo account Google Cloud vengano addebitati costi per le risorse utilizzate in questa pagina, segui questi passaggi.
Elimina il cluster che hai creato in GKE:
Console
Per eliminare il cluster:
Vai alla pagina Cluster di GKE nella console Google Cloud.
Seleziona il cluster
test-cluster
e fai clic su Elimina.
gcloud
Per eliminare il cluster:
gcloud container clusters delete \ --zone=us-central1-a \ test-cluster
Passaggi successivi
- Utilizza l'attestatore
built-by-cloud-build
per eseguire il deployment solo delle immagini create da Cloud Build (anteprima). - Per un tutorial end-to-end sulla richiesta di attestazioni, vedi:
- Leggi le nostre risorse su DevOps ed esplora le Programma di ricerca DORA (DevOps Research and Assessment).