Mengonfigurasi kebijakan menggunakan gcloud CLI

Catatan: Dokumen atau bagian ini menyertakan referensi ke satu atau beberapa persyaratan yang Google anggap tidak sopan atau menyinggung. Istilah tersebut digunakan karena merupakan kata kunci dalam software yang dijelaskan dalam dokumen ini.

Persyaratan: whitelist

Halaman ini memberikan petunjuk untuk mengonfigurasi kebijakan Otorisasi Biner menggunakan Google Cloud CLI. Sebagai alternatif, Anda juga dapat melakukan tugas ini menggunakan Konsol Google Cloud atau REST API. Langkah ini adalah bagian dari menyiapkan Otorisasi Biner.

Untuk mengonfigurasi kebijakan menggunakan alat command line, Anda mengekspor kebijakan yang ada sebagai file YAML. Setelah mengubah file, Anda dapat mengimpornya untuk memperbarui kebijakan, seperti yang dijelaskan nanti dalam panduan ini. Untuk informasi selengkapnya tentang format YAML kebijakan, lihat Referensi YAML Kebijakan.

Catatan: Halaman ini menjelaskan cara mengonfigurasi kebijakan untuk platform berbasis penampung yang didukung Binary Authorization, termasuk Google Kubernetes Engine (GKE), Distributed Cloud, Cloud Run, dan Cloud Service Mesh. Setelan kebijakan, seperti jenis aturan, parameter aturan, dan format parameter dapat bervariasi bergantung pada platform yang Anda gunakan. Oleh karena itu, setiap bagian di halaman ini mencantumkan platform tempat setelan berlaku. Pastikan setelan yang Anda gunakan didukung untuk platform Anda.

Sebelum memulai

1. Aktifkan Otorisasi Biner.
2. Membuat cluster.
3. Jika Anda ingin menggunakan pernyataan, sebaiknya buat penanda tangan sebelum mengonfigurasi kebijakan. Anda dapat membuat pengautentikasi menggunakan alat command line atau melalui Konsol Google Cloud.

4. Tetapkan project ID ke project tempat Anda mengaktifkan Otorisasi Biner:

   PROJECT_ID=PROJECT_ID
   gcloud config set project ${PROJECT_ID}
   

Mengekspor file YAML kebijakan

Bagian ini berlaku untuk GKE, Distributed Cloud, Cloud Run, dan Cloud Service Mesh.

Untuk memperbarui kebijakan, ekspor kebijakan terlebih dahulu ke file YAML lokal, seperti berikut:

gcloud container binauthz policy export > /tmp/policy.yaml

Secara default, isi file terlihat mirip dengan berikut ini:

defaultAdmissionRule:
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
  evaluationMode: ALWAYS_ALLOW
globalPolicyEvaluationMode: ENABLE
name: projects/PROJECT_ID/policy

Untuk mengubah kebijakan, edit file dan tambahkan atau perbarui bagian, seperti yang dijelaskan nanti dalam panduan ini. Setelah menyimpan file, Anda dapat mengimpor kebijakan.

Untuk menambahkan gambar yang dikecualikan ke daftar yang diizinkan, tambahkan hal berikut ke file kebijakan:

admissionWhitelistPatterns:
  - namePattern: EXEMPT_IMAGE_PATH

Ganti EXEMPT_IMAGE_PATH dengan jalur ke gambar yang akan dikecualikan. Untuk mengecualikan gambar tambahan, tambahkan entri - namePattern tambahan. Pelajari admissionWhitelistPatterns lebih lanjut.

Menetapkan aturan default

Bagian ini berlaku untuk GKE, Distributed Cloud, Cloud Run, dan Cloud Service Mesh.

Aturan adalah bagian dari kebijakan yang menentukan batasan yang harus dipenuhi image container sebelum dapat di-deploy. Aturan default menentukan batasan yang berlaku untuk semua image non-pengecualian yang tidak memiliki aturan khusus clusternya sendiri. Setiap kebijakan harus memiliki aturan default.

Aturan default ditentukan dalam node defaultAdmissionRule dalam file YAML kebijakan. Untuk mengetahui informasi selengkapnya tentang bagian aturan ini, lihat ADMISSION_RULE di Referensi YAML Kebijakan. Untuk contoh aturan default, lihat Contoh Kebijakan.

Untuk menetapkan aturan default, edit node defaultAdmissionRule di file policy.yaml sesuai kebutuhan:

defaultAdmissionRule:
  evaluationMode: EVALUATION_MODE
  enforcementMode: ENFORCEMENT_MODE
  requireAttestationsBy:
  - ATTESTOR
  - ...

Ganti kode berikut:

• EVALUATION_MODE: Mode evaluasi menentukan jenis batasan yang diterapkan oleh penegak Otorisasi Biner pada waktu deployment. Ganti EVALUATION_MODE dengan salah satu opsi berikut:

  • ALWAYS_ALLOW: Memungkinkan semua image di-deploy.
  • ALWAYS_DENY: Tidak mengizinkan semua image di-deploy.
  • REQUIRE_ATTESTATION: Mengizinkan deployment image jika image memiliki satu atau beberapa pengesahan yang dapat diverifikasi oleh semua pengesah yang Anda tambahkan ke aturan ini. Pada waktu deployment, penegak memverifikasi pengesahan menggunakan pengesah yang Anda tambahkan ke daftar ATTESTOR dalam aturan ini. Untuk mempelajari cara membuat pengautentikasi, lihat Membuat pengautentikasi. Jika menentukan REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttestationsBy yang berisi minimal satu attestor. Untuk mempelajari cara membuat pengautentikasi, lihat Membuat pengautentikasi.

• ENFORCEMENT_MODE: Mode penerapan menentukan respons penegak saat gambar melanggar aturan. Ganti ENFORCEMENT_MODE dengan salah satu dari yang berikut ini:

  • ENFORCED_BLOCK_AND_AUDIT_LOG: Memblokir gambar yang melanggar aturan dan mencatat informasi tentang pelanggaran ke Cloud Audit Logs (default).
  • DRYRUN_AUDIT_LOG_ONLY: Mengizinkan semua image di-deploy, tetapi mencatat informasi penerapan, termasuk informasi tentang pelanggaran, ke Cloud Audit Logs.

• ATTESTOR: Jika menetapkan EVALUATION_MODE ke REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttesationsBy. Dalam blok, Anda mencantumkan satu atau beberapa pengautentikasi, berdasarkan ID resource. ID resource memiliki format:

  projects/PROJECT_ID/attestors/ATTESTOR_NAME.

  Untuk mempelajari lebih lanjut cara membuat pengautentikasi, lihat Membuat pengautentikasi.

Catatan: Sebaiknya jangan gunakan mode evaluasi ALWAYS_ALLOW dalam aturan default. Tindakan ini memungkinkan semua gambar di-deploy, kecuali jika gambar tersebut gagal memenuhi aturan khusus cluster atau aturan khusus lainnya dalam kebijakan.

Mengelola gambar yang dikecualikan

Bagian ini berlaku untuk GKE, Distributed Cloud, Cloud Run, dan Cloud Service Mesh.

Gambar yang dikecualikan adalah gambar yang dikecualikan dari aturan kebijakan. Otorisasi Biner selalu mengizinkan image yang dikecualikan untuk di-deploy.

Anda menentukan gambar yang dikecualikan dengan mencantumkan jalur registry-nya di admissionWhitelistPatterns. Jalur ini merujuk ke Container Registry atau registry image lainnya. Pada waktu deployment, Otorisasi Biner mengecualikan daftar image yang ditentukan oleh admissionWhitelistPatterns setelah image ditentukan oleh kebijakan sistem.

Untuk menambahkan gambar yang dikecualikan, tambahkan node namePattern di bawah daftar admissionWhitelistPatterns dalam file policy.yaml:

admissionWhitelistPatterns:
- namePattern: MATCHING_PATTERN

Ganti MATCHING_PATTERN dengan jalur ke satu gambar di registry Anda dengan pencocokan persis, atau ke gambar apa pun yang cocok dengan pola menggunakan simbol karakter pengganti (*, **).

Cloud Run

Bagian ini berlaku untuk Cloud Run.

Anda tidak dapat langsung menentukan nama gambar yang berisi tag. Misalnya, Anda tidak dapat menentukan IMAGE_PATH:latest.

Jika ingin menentukan nama gambar yang berisi tag, Anda harus menentukan nama gambar menggunakan karakter pengganti sebagai berikut:

• * untuk semua versi gambar tunggal; misalnya, us-docker.pkg.dev/myproject/container/hello@*
• ** untuk semua image dalam project; misalnya, us-docker.pkg.dev/myproject/**

Anda dapat menggunakan nama jalur untuk menentukan ringkasan dalam format IMAGE_PATH@DIGEST.

Mode evaluasi kebijakan sistem

Bagian ini berlaku untuk GKE dan Distributed Cloud.

Mode evaluasi kebijakan sistem adalah setelan kebijakan yang menyebabkan Binary Authorization mengevaluasi kebijakan sistem sebelum mengevaluasi kebijakan yang Anda konfigurasi. Google mengelola kebijakan sistem, yang mengecualikan daftar image sistem yang dikelola Google yang digunakan GKE. Gambar yang tercantum dalam kebijakan sistem tidak diblokir oleh penerapan kebijakan. Jika tidak mengaktifkan setelan ini, Anda harus mengelola daftar gambar yang dikecualikan sendiri. Pelajari cara Mengelola gambar yang dikecualikan.

Anda dapat melihat konten kebijakan sistem menggunakan perintah berikut:

gcloud alpha container binauthz policy export-system-policy

Untuk mengaktifkan mode evaluasi kebijakan sistem, tambahkan baris berikut ke file policy.yaml:

globalPolicyEvaluationMode: ENABLE

Untuk menonaktifkan mode evaluasi kebijakan sistem, tambahkan hal berikut:

globalPolicyEvaluationMode: DISABLE

Catatan: Untuk alasan keandalan, kebijakan sistem diperbarui satu region pada satu waktu. Akibatnya, kebijakan sistem dapat berbeda di antara region selama update.

Anda dapat mengekspor kebijakan sistem yang terkait dengan wilayah tertentu sebagai berikut:

gcloud alpha container binauthz policy export-system-policy \
  --location=REGION > /tmp/policy.yaml

Ganti REGION dengan region yang terkait dengan kebijakan sistem yang ingin Anda ekspor (atau "global"). Contohnya mencakup: asia-east1, europe-west1, us-central1.

Jika Anda menghapus --location atau menentukan --location=global, perintah akan menghasilkan kebijakan sistem dari region dalam grup region terakhir untuk menerima update. Karena sebagian besar perubahan pada kebijakan sistem adalah penambahan, output akan menampilkan kumpulan image sistem yang saat ini diizinkan di semua region.

Menetapkan aturan khusus cluster (opsional)

Bagian ini berlaku untuk GKE dan Distributed Cloud.

Cluster juga dapat memiliki satu atau beberapa aturan khusus cluster. Jenis aturan ini berlaku untuk image yang akan di-deploy ke cluster GKE tertentu saja. Aturan khusus cluster adalah bagian opsional dari kebijakan.

Aturan khusus cluster ditentukan di node clusterAdmissionRules dalam file YAML kebijakan. Untuk mengetahui informasi selengkapnya tentang bagian aturan ini, lihat ADMISSION_RULE di Referensi YAML Kebijakan. Sebagai contoh, lihat Menggunakan aturan khusus cluster di Contoh Kebijakan.

Untuk menambahkan aturan khusus cluster:

Dalam file policy.yaml, tambahkan node clusterAdmissionRules:

clusterAdmissionRules:
  CLUSTER_SPECIFIER:
    evaluationMode: EVALUATION_MODE
    enforcementMode: ENFORCEMENT_MODE
    requireAttestationsBy:
    - ATTESTOR
    - ...

Ganti kode berikut:

• CLUSTER_SPECIFIER: ID resource cluster tempat aturan diterapkan. Anda memformat aturan sebagai berikut:

  • Untuk GKE, cluster terpasang GKE, dan GKE di AWS, formatnya adalah CLUSTER_LOCATION.CLUSTER_NAME—misalnya, us-central1-a.test-cluster.

  • Untuk software Google Distributed Cloud (cluster GKE di bare metal atau VMware), formatnya adalah, FLEET_MEMBERSHIP_LOCATION.FLEET_MEMBERSHIP_ID—misalnya, global.test-membership.

    Properti lainnya dijelaskan dalam Menetapkan aturan default sebelumnya dalam panduan ini. Untuk contoh aturan khusus cluster, lihat Contoh Kebijakan.

• EVALUATION_MODE: Mode evaluasi menentukan jenis batasan yang diterapkan oleh penegak Otorisasi Biner pada waktu deployment. Ganti EVALUATION_MODE dengan salah satu opsi berikut:

  • ALWAYS_ALLOW: Memungkinkan semua image di-deploy.
  • ALWAYS_DENY: Tidak mengizinkan semua image di-deploy.
  • REQUIRE_ATTESTATION: Mengizinkan deployment image jika image memiliki satu atau beberapa pengesahan yang dapat diverifikasi oleh semua pengesah yang Anda tambahkan ke aturan ini. Pada waktu deployment, penegak memverifikasi pengesahan menggunakan pengesah yang Anda tambahkan ke daftar ATTESTOR dalam aturan ini. Untuk mempelajari cara membuat pengautentikasi, lihat Membuat pengautentikasi. Jika menentukan REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttestationsBy yang berisi minimal satu attestor. Untuk mempelajari cara membuat pengautentikasi, lihat Membuat pengautentikasi.

• ENFORCEMENT_MODE: Mode penerapan menentukan respons penegak saat gambar melanggar aturan. Ganti ENFORCEMENT_MODE dengan salah satu dari yang berikut ini:

  • ENFORCED_BLOCK_AND_AUDIT_LOG: Memblokir gambar yang melanggar aturan dan mencatat informasi tentang pelanggaran ke Cloud Audit Logs (default).
  • DRYRUN_AUDIT_LOG_ONLY: Mengizinkan semua image di-deploy, tetapi mencatat informasi penerapan, termasuk informasi tentang pelanggaran, ke Cloud Audit Logs.

• ATTESTOR: Jika menetapkan EVALUATION_MODE ke REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttesationsBy. Dalam blok, Anda mencantumkan satu atau beberapa pengautentikasi, berdasarkan ID resource. ID resource memiliki format:

  projects/PROJECT_ID/attestors/ATTESTOR_NAME.

  Untuk mempelajari lebih lanjut cara membuat pengautentikasi, lihat Membuat pengautentikasi.

Menetapkan aturan tertentu (opsional)

Anda dapat membuat aturan yang dicakupkan ke identitas layanan mesh, akun layanan Kubernetes, atau namespace Kubernetes.

Menetapkan aturan untuk identitas layanan Cloud Service Mesh

Untuk menetapkan aturan bagi identitas layanan Cloud Service Mesh, edit file policy.yaml dan tambahkan blok istioServiceIdentityAdmissionRules, misalnya:

defaultAdmissionRule:
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
  evaluationMode: ALWAYS_DENY
globalPolicyEvaluationMode: ENABLE
istioServiceIdentityAdmissionRules:
  SERVICE_IDENTITY_ID:
    enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
    evaluationMode: ENFORCEMENT_MODE
    requireAttestationsBy:
    - <var>ATTESTOR</var>
    - ...

name: projects/PROJECT_ID/policy

Ganti kode berikut:

• SERVICE_IDENTITY_ID: identitas layanan Cloud Service Mesh yang akan menjadi cakupan aturan ini. Identitas layanan memiliki format berikut: PROJECT_ID.svc.id.goog/ns/NAMESPACE/sa/SERVICE_ACCOUNT. Di ID identitas layanan, ganti hal berikut:

  • PROJECT_ID: project ID tempat Anda menentukan resource Kubernetes.
  • NAMESPACE: namespace Kubernetes.
  • SERVICE_ACCOUNT: akun layanan.

• EVALUATION_MODE: Mode evaluasi menentukan jenis batasan yang diterapkan oleh penegak Otorisasi Biner pada waktu deployment. Ganti EVALUATION_MODE dengan salah satu opsi berikut:

  • ALWAYS_ALLOW: Memungkinkan semua image di-deploy.
  • ALWAYS_DENY: Tidak mengizinkan semua image di-deploy.
  • REQUIRE_ATTESTATION: Mengizinkan deployment image jika image memiliki satu atau beberapa pengesahan yang dapat diverifikasi oleh semua pengesah yang Anda tambahkan ke aturan ini. Pada waktu deployment, penegak memverifikasi pengesahan menggunakan pengesah yang Anda tambahkan ke daftar ATTESTOR dalam aturan ini. Untuk mempelajari cara membuat pengautentikasi, lihat Membuat pengautentikasi. Jika menentukan REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttestationsBy yang berisi minimal satu attestor. Untuk mempelajari cara membuat pengautentikasi, lihat Membuat pengautentikasi.

• ENFORCEMENT_MODE: Mode penerapan menentukan respons penegak saat gambar melanggar aturan. Ganti ENFORCEMENT_MODE dengan salah satu dari yang berikut ini:

  • ENFORCED_BLOCK_AND_AUDIT_LOG: Memblokir gambar yang melanggar aturan dan mencatat informasi tentang pelanggaran ke Cloud Audit Logs (default).
  • DRYRUN_AUDIT_LOG_ONLY: Mengizinkan semua image di-deploy, tetapi mencatat informasi penerapan, termasuk informasi tentang pelanggaran, ke Cloud Audit Logs.

• ATTESTOR: Jika menetapkan EVALUATION_MODE ke REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttesationsBy. Dalam blok, Anda mencantumkan satu atau beberapa pengautentikasi, berdasarkan ID resource. ID resource memiliki format:

  projects/PROJECT_ID/attestors/ATTESTOR_NAME.

  Untuk mempelajari lebih lanjut cara membuat pengautentikasi, lihat Membuat pengautentikasi.

Menetapkan aturan untuk akun layanan Kubernetes

Untuk menetapkan aturan bagi akun layanan Kubernetes, edit file policy.yaml dan tambahkan blok kubernetesServiceAccountAdmissionRules, misalnya:

defaultAdmissionRule:
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
  evaluationMode: ALWAYS_DENY
globalPolicyEvaluationMode: ENABLE
kubernetesServiceAccountAdmissionRules:
  KUBERNETES_SERVICE_ACCOUNT_ID:
    enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
    evaluationMode: ENFORCEMENT_MODE
    requireAttestationsBy:
    - <var>ATTESTOR</var>
    - ...
name: projects/PROJECT_ID/policy

Ganti kode berikut:

• KUBERNETES_SERVICE_ACCOUNT_ID: Akun layanan Kubernetes yang akan dicakup oleh aturan. ID akun layanan ini memiliki format: NAMESPACE:SERVICE_ACCOUNT. Di ID akun layanan, ganti hal berikut:

  • NAMESPACE: namespace Kubernetes.
  • SERVICE_ACCOUNT: nama akun layanan.

• EVALUATION_MODE: Mode evaluasi menentukan jenis batasan yang diterapkan oleh penegak Otorisasi Biner pada waktu deployment. Ganti EVALUATION_MODE dengan salah satu opsi berikut:

  • ALWAYS_ALLOW: Memungkinkan semua image di-deploy.
  • ALWAYS_DENY: Tidak mengizinkan semua image di-deploy.
  • REQUIRE_ATTESTATION: Mengizinkan deployment image jika image memiliki satu atau beberapa pengesahan yang dapat diverifikasi oleh semua pengesah yang Anda tambahkan ke aturan ini. Pada waktu deployment, penegak memverifikasi pengesahan menggunakan pengesah yang Anda tambahkan ke daftar ATTESTOR dalam aturan ini. Untuk mempelajari cara membuat pengautentikasi, lihat Membuat pengautentikasi. Jika menentukan REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttestationsBy yang berisi minimal satu attestor. Untuk mempelajari cara membuat pengautentikasi, lihat Membuat pengautentikasi.

• ENFORCEMENT_MODE: Mode penerapan menentukan respons penegak saat gambar melanggar aturan. Ganti ENFORCEMENT_MODE dengan salah satu dari yang berikut ini:

  • ENFORCED_BLOCK_AND_AUDIT_LOG: Memblokir gambar yang melanggar aturan dan mencatat informasi tentang pelanggaran ke Cloud Audit Logs (default).
  • DRYRUN_AUDIT_LOG_ONLY: Mengizinkan semua image di-deploy, tetapi mencatat informasi penerapan, termasuk informasi tentang pelanggaran, ke Cloud Audit Logs.

• ATTESTOR: Jika menetapkan EVALUATION_MODE ke REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttesationsBy. Dalam blok, Anda mencantumkan satu atau beberapa pengautentikasi, berdasarkan ID resource. ID resource memiliki format:

  projects/PROJECT_ID/attestors/ATTESTOR_NAME.

  Untuk mempelajari lebih lanjut cara membuat pengautentikasi, lihat Membuat pengautentikasi.

Menetapkan aturan untuk namespace Kubernetes

Untuk menetapkan aturan bagi namespace Kubernetes, edit file policy.yaml dan tambahkan blok kubernetesNamespaceAdmissionRules, misalnya:

defaultAdmissionRule:
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
  evaluationMode: ALWAYS_DENY
globalPolicyEvaluationMode: ENABLE
kubernetesNamespaceAdmissionRules:
  KUBERNETES_NAMESPACE:
    enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
    evaluationMode: EVALUATION_MODE
    requireAttestationsBy:
    - <var>ATTESTOR</var>
    - ...
name: projects/PROJECT_ID/policy

Ganti kode berikut:

• KUBERNETES_NAMESPACE: Namespace Kubernetes yang akan menjadi cakupan aturan ini.

• EVALUATION_MODE: Mode evaluasi menentukan jenis batasan yang diterapkan oleh penegak Otorisasi Biner pada waktu deployment. Ganti EVALUATION_MODE dengan salah satu opsi berikut:

  • ALWAYS_ALLOW: Memungkinkan semua image di-deploy.
  • ALWAYS_DENY: Tidak mengizinkan semua image di-deploy.
  • REQUIRE_ATTESTATION: Mengizinkan deployment image jika image memiliki satu atau beberapa pengesahan yang dapat diverifikasi oleh semua pengesah yang Anda tambahkan ke aturan ini. Pada waktu deployment, penegak memverifikasi pengesahan menggunakan pengesah yang Anda tambahkan ke daftar ATTESTOR dalam aturan ini. Untuk mempelajari cara membuat pengautentikasi, lihat Membuat pengautentikasi. Jika menentukan REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttestationsBy yang berisi minimal satu attestor. Untuk mempelajari cara membuat pengautentikasi, lihat Membuat pengautentikasi.

• ENFORCEMENT_MODE: Mode penerapan menentukan respons penegak saat gambar melanggar aturan. Ganti ENFORCEMENT_MODE dengan salah satu dari yang berikut ini:

  • ENFORCED_BLOCK_AND_AUDIT_LOG: Memblokir gambar yang melanggar aturan dan mencatat informasi tentang pelanggaran ke Cloud Audit Logs (default).
  • DRYRUN_AUDIT_LOG_ONLY: Mengizinkan semua image di-deploy, tetapi mencatat informasi penerapan, termasuk informasi tentang pelanggaran, ke Cloud Audit Logs.

• ATTESTOR: Jika menetapkan EVALUATION_MODE ke REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttesationsBy. Dalam blok, Anda mencantumkan satu atau beberapa pengautentikasi, berdasarkan ID resource. ID resource memiliki format:

  projects/PROJECT_ID/attestors/ATTESTOR_NAME.

  Untuk mempelajari lebih lanjut cara membuat pengautentikasi, lihat Membuat pengautentikasi.

Mengimpor file YAML kebijakan

Bagian ini berlaku untuk GKE, Distributed Cloud, Cloud Run, dan Cloud Service Mesh.

Impor file YAML kebijakan kembali ke Otorisasi Biner dengan memasukkan hal berikut:

gcloud container binauthz policy import /tmp/policy.yaml

Catatan: Mungkin perlu waktu beberapa menit agar kebijakan diterapkan.

Langkah selanjutnya

• Gunakan pengautentikasi built-by-cloud-build untuk hanya men-deploy image yang dibuat oleh Cloud Build.
• Gunakan pengesahan.
• Men-deploy image GKE.