Mengonfigurasi kebijakan menggunakan gcloud CLI

Catatan: Dokumen atau bagian ini menyertakan referensi ke satu atau beberapa persyaratan yang Google anggap tidak sopan atau menyinggung. Istilah tersebut digunakan karena merupakan kata kunci dalam software yang dijelaskan dalam dokumen ini.

Persyaratan: whitelist

Halaman ini memberikan petunjuk untuk mengonfigurasi kebijakan Otorisasi Biner menggunakan Google Cloud CLI. Sebagai alternatif, Anda juga dapat melakukan tugas ini menggunakan konsolGoogle Cloud atau REST API. Langkah ini merupakan bagian dari penyiapan Otorisasi Biner.

Untuk mengonfigurasi kebijakan menggunakan alat command line, Anda mengekspor kebijakan yang ada sebagai file YAML. Setelah mengubah file, Anda dapat mengimpornya untuk memperbarui kebijakan, seperti yang dijelaskan nanti dalam panduan ini. Untuk mengetahui informasi selengkapnya tentang format YAML kebijakan, lihat Referensi YAML Kebijakan.

Catatan: Halaman ini menjelaskan cara mengonfigurasi kebijakan untuk platform berbasis container yang didukung Otorisasi Biner, termasuk Google Kubernetes Engine (GKE), Distributed Cloud, Cloud Run, dan Cloud Service Mesh. Setelan kebijakan, seperti jenis aturan, parameter aturan, dan format parameter dapat bervariasi bergantung pada platform yang Anda gunakan. Oleh karena itu, setiap bagian di halaman ini mencatat platform yang menerapkan setelan. Pastikan setelan yang Anda gunakan didukung untuk platform Anda.

Sebelum memulai

1. Aktifkan Otorisasi Biner.
2. Membuat cluster.
3. Jika Anda ingin menggunakan pengesahan, sebaiknya buat pengesah sebelum mengonfigurasi kebijakan. Anda dapat membuat pengesah menggunakan alat command line atau melalui konsolGoogle Cloud .

4. Tetapkan project ID ke project tempat Anda mengaktifkan Otorisasi Biner:

   PROJECT_ID=PROJECT_ID
   gcloud config set project ${PROJECT_ID}
   

Mengekspor file YAML kebijakan

Bagian ini berlaku untuk GKE, Distributed Cloud, Cloud Run, dan Cloud Service Mesh.

Untuk memperbarui kebijakan, ekspor terlebih dahulu ke file YAML lokal, sebagai berikut:

gcloud container binauthz policy export > /tmp/policy.yaml

Secara default, isi file akan terlihat mirip dengan berikut ini:

defaultAdmissionRule:
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
  evaluationMode: ALWAYS_ALLOW
globalPolicyEvaluationMode: ENABLE
name: projects/PROJECT_ID/policy

Untuk mengubah kebijakan, edit file dan tambahkan atau perbarui bagian, seperti yang dijelaskan nanti dalam panduan ini. Setelah menyimpan file, Anda dapat mengimpor kebijakan.

Untuk menambahkan gambar yang dikecualikan ke daftar yang diizinkan, tambahkan berikut ke file kebijakan:

admissionWhitelistPatterns:
  - namePattern: EXEMPT_IMAGE_PATH

Ganti EXEMPT_IMAGE_PATH dengan jalur ke gambar yang akan dikecualikan. Untuk mengecualikan gambar tambahan, tambahkan entri - namePattern tambahan. Pelajari admissionWhitelistPatterns lebih lanjut.

Menetapkan aturan default

Bagian ini berlaku untuk GKE, Distributed Cloud, Cloud Run, dan Cloud Service Mesh.

Aturan adalah bagian dari kebijakan yang menentukan batasan yang harus dipenuhi image container sebelum dapat di-deploy. Aturan default menentukan batasan yang berlaku untuk semua image non-pengecualian yang tidak memiliki aturan khusus cluster sendiri. Setiap kebijakan harus memiliki aturan default.

Aturan default ditentukan dalam node defaultAdmissionRule di file YAML kebijakan. Untuk mengetahui informasi selengkapnya tentang bagian aturan ini, lihat ADMISSION_RULE di Referensi YAML Kebijakan. Untuk contoh aturan default, lihat Contoh Kebijakan.

Untuk menetapkan aturan default, edit node defaultAdmissionRule dalam file policy.yaml sesuai kebutuhan:

defaultAdmissionRule:
  evaluationMode: EVALUATION_MODE
  enforcementMode: ENFORCEMENT_MODE
  requireAttestationsBy:
  - ATTESTOR
  - ...

Ganti kode berikut:

• EVALUATION_MODE: Mode evaluasi menentukan jenis batasan yang diterapkan oleh penguat Otorisasi Biner pada waktu deployment. Ganti EVALUATION_MODE dengan salah satu opsi berikut:

  • ALWAYS_ALLOW: Mengizinkan semua gambar di-deploy.
  • ALWAYS_DENY: Melarang semua gambar di-deploy.
  • REQUIRE_ATTESTATION: Mengizinkan gambar di-deploy jika gambar memiliki satu atau beberapa pengesahan yang dapat diverifikasi oleh semua pengesah yang Anda tambahkan ke aturan ini. Pada waktu deployment, penegak memverifikasi pengesahan menggunakan pengesah yang Anda tambahkan ke daftar ATTESTOR dalam aturan ini. Untuk mempelajari cara membuat pengesah, lihat Membuat pengesah. Jika Anda menentukan REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttestationsBy yang berisi setidaknya satu pengesah. Untuk mempelajari cara membuat pengesah, lihat Membuat pengesah.

• ENFORCEMENT_MODE: Mode penerapan menentukan cara penegak merespons saat gambar melanggar aturan. Ganti ENFORCEMENT_MODE dengan salah satu dari yang berikut ini:

  • ENFORCED_BLOCK_AND_AUDIT_LOG: Memblokir gambar yang melanggar aturan dan mencatat informasi tentang pelanggaran ke Cloud Audit Logs (default).
  • DRYRUN_AUDIT_LOG_ONLY: Mengizinkan semua image di-deploy, tetapi mencatat informasi penerapan, termasuk informasi tentang pelanggaran, ke Cloud Audit Logs.

• ATTESTOR: Jika Anda menetapkan EVALUATION_MODE ke REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttesationsBy. Di blok, Anda mencantumkan satu atau beberapa pengesah, menurut ID resource. ID resource memiliki format:

  projects/PROJECT_ID/attestors/ATTESTOR_NAME.

  Untuk mempelajari lebih lanjut cara membuat pengesah, lihat Membuat pengesah.

Catatan: Sebaiknya jangan gunakan mode evaluasi ALWAYS_ALLOW dalam aturan default. Dengan melakukannya, semua gambar dapat di-deploy kecuali jika gagal memenuhi aturan khusus cluster atau aturan khusus lainnya dalam kebijakan.

Mengelola gambar yang dikecualikan

Bagian ini berlaku untuk GKE, Distributed Cloud, Cloud Run, dan Cloud Service Mesh.

Gambar yang dikecualikan adalah gambar yang dikecualikan dari aturan kebijakan. Otorisasi Biner selalu mengizinkan image yang dikecualikan untuk di-deploy.

Anda menentukan gambar yang dikecualikan dengan mencantumkan jalur registrinya di admissionWhitelistPatterns. Jalur mengacu pada Container Registry atau registry image lain. Pada waktu deployment, Otorisasi Biner mengecualikan daftar image yang ditentukan oleh admissionWhitelistPatterns setelah image yang ditentukan oleh kebijakan sistem.

Untuk menambahkan gambar yang dikecualikan, tambahkan node namePattern di bawah daftar admissionWhitelistPatterns dalam file policy.yaml:

admissionWhitelistPatterns:
- namePattern: MATCHING_PATTERN

Ganti MATCHING_PATTERN dengan jalur ke satu gambar di registry Anda dengan pencocokan persis, atau ke gambar apa pun yang cocok dengan pola menggunakan simbol karakter pengganti (*, **).

Cloud Run

Bagian ini berlaku untuk Cloud Run.

Anda tidak dapat secara langsung menentukan nama gambar yang berisi tag. Misalnya, Anda tidak dapat menentukan IMAGE_PATH:latest.

Jika Anda ingin menentukan nama image yang berisi tag, Anda harus menentukan nama image menggunakan karakter pengganti sebagai berikut:

• * untuk semua versi satu gambar; misalnya, us-docker.pkg.dev/myproject/container/hello@*
• ** untuk semua gambar dalam project; misalnya, us-docker.pkg.dev/myproject/**

Anda dapat menggunakan nama jalur untuk menentukan ringkasan dalam format IMAGE_PATH@DIGEST.

Mode evaluasi kebijakan sistem

Bagian ini berlaku untuk GKE dan Distributed Cloud.

Mode evaluasi kebijakan sistem adalah setelan kebijakan yang menyebabkan Otorisasi Biner mengevaluasi kebijakan sistem sebelum mengevaluasi kebijakan yang Anda konfigurasi. Google mengelola kebijakan sistem, yang mengecualikan daftar image sistem yang dikelola Google yang digunakan GKE. Gambar yang tercantum dalam kebijakan sistem tidak diblokir oleh penegakan kebijakan. Jika tidak mengaktifkan setelan ini, Anda harus mengelola sendiri daftar gambar yang dikecualikan. Pelajari cara Mengelola gambar yang dikecualikan.

Anda dapat melihat isi kebijakan sistem menggunakan perintah berikut:

gcloud alpha container binauthz policy export-system-policy

Untuk mengaktifkan mode evaluasi kebijakan sistem, tambahkan baris berikut ke file policy.yaml:

globalPolicyEvaluationMode: ENABLE

Untuk menonaktifkan mode evaluasi kebijakan sistem, tambahkan kode berikut:

globalPolicyEvaluationMode: DISABLE

Catatan: Untuk alasan keandalan, kebijakan sistem diperbarui satu region dalam satu waktu. Akibatnya, kebijakan sistem dapat berbeda di antara wilayah selama pembaruan.

Anda dapat mengekspor kebijakan sistem yang terkait dengan wilayah tertentu sebagai berikut:

gcloud alpha container binauthz policy export-system-policy \
  --location=REGION > /tmp/policy.yaml

Ganti REGION dengan region yang terkait dengan kebijakan sistem yang ingin Anda ekspor (atau "global"). Contohnya mencakup: asia-east1, europe-west1, us-central1.

Jika Anda menghapus --location atau menentukan --location=global, perintah akan menampilkan kebijakan sistem dari region dalam grup terakhir region yang menerima update. Karena sebagian besar perubahan pada kebijakan sistem adalah penambahan, output menampilkan kumpulan image sistem yang saat ini diizinkan di semua wilayah.

Menetapkan aturan khusus cluster (opsional)

Bagian ini berlaku untuk GKE dan Distributed Cloud.

Cluster juga dapat memiliki satu atau beberapa aturan khusus cluster. Jenis aturan ini berlaku untuk gambar yang akan di-deploy ke cluster GKE tertentu saja. Aturan khusus cluster adalah bagian opsional dari kebijakan.

Aturan khusus cluster ditentukan di node clusterAdmissionRules dalam file YAML kebijakan. Untuk mengetahui informasi selengkapnya tentang bagian aturan ini, lihat ADMISSION_RULE di Referensi YAML Kebijakan. Untuk melihat contohnya, lihat Menggunakan aturan khusus cluster di Contoh Kebijakan.

Untuk menambahkan aturan khusus cluster:

Di file policy.yaml, tambahkan node clusterAdmissionRules:

clusterAdmissionRules:
  CLUSTER_SPECIFIER:
    evaluationMode: EVALUATION_MODE
    enforcementMode: ENFORCEMENT_MODE
    requireAttestationsBy:
    - ATTESTOR
    - ...

Ganti kode berikut:

• CLUSTER_SPECIFIER: ID resource cluster tempat aturan diterapkan. Anda memformat aturan sebagai berikut:

  • Untuk GKE, cluster terpasang GKE, dan GKE di AWS, formatnya adalah CLUSTER_LOCATION.CLUSTER_NAME—misalnya, us-central1-a.test-cluster.

  • Untuk software Google Distributed Cloud (cluster GKE di bare metal atau VMware), formatnya adalah, FLEET_MEMBERSHIP_LOCATION.FLEET_MEMBERSHIP_ID—misalnya, global.test-membership.

    Properti lainnya dijelaskan dalam Menetapkan aturan default sebelumnya dalam panduan ini. Untuk contoh aturan khusus cluster, lihat Contoh Kebijakan.

• EVALUATION_MODE: Mode evaluasi menentukan jenis batasan yang diterapkan oleh penguat Otorisasi Biner pada waktu deployment. Ganti EVALUATION_MODE dengan salah satu opsi berikut:

  • ALWAYS_ALLOW: Mengizinkan semua gambar di-deploy.
  • ALWAYS_DENY: Melarang semua gambar di-deploy.
  • REQUIRE_ATTESTATION: Mengizinkan gambar di-deploy jika gambar memiliki satu atau beberapa pengesahan yang dapat diverifikasi oleh semua pengesah yang Anda tambahkan ke aturan ini. Pada waktu deployment, penegak memverifikasi pengesahan menggunakan pengesah yang Anda tambahkan ke daftar ATTESTOR dalam aturan ini. Untuk mempelajari cara membuat pengesah, lihat Membuat pengesah. Jika Anda menentukan REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttestationsBy yang berisi setidaknya satu pengesah. Untuk mempelajari cara membuat pengesah, lihat Membuat pengesah.

• ENFORCEMENT_MODE: Mode penerapan menentukan cara penegak merespons saat gambar melanggar aturan. Ganti ENFORCEMENT_MODE dengan salah satu dari yang berikut ini:

  • ENFORCED_BLOCK_AND_AUDIT_LOG: Memblokir gambar yang melanggar aturan dan mencatat informasi tentang pelanggaran ke Cloud Audit Logs (default).
  • DRYRUN_AUDIT_LOG_ONLY: Mengizinkan semua image di-deploy, tetapi mencatat informasi penerapan, termasuk informasi tentang pelanggaran, ke Cloud Audit Logs.

• ATTESTOR: Jika Anda menetapkan EVALUATION_MODE ke REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttesationsBy. Di blok, Anda mencantumkan satu atau beberapa pengesah, menurut ID resource. ID resource memiliki format:

  projects/PROJECT_ID/attestors/ATTESTOR_NAME.

  Untuk mempelajari lebih lanjut cara membuat pengesah, lihat Membuat pengesah.

Menetapkan aturan spesifik (opsional)

Anda dapat membuat aturan yang dicakup ke identitas layanan mesh, akun layanan Kubernetes, atau namespace Kubernetes.

Menetapkan aturan untuk identitas layanan Cloud Service Mesh

Untuk menetapkan aturan bagi identitas layanan Cloud Service Mesh, edit file policy.yaml Anda dan tambahkan blok istioServiceIdentityAdmissionRules, misalnya:

defaultAdmissionRule:
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
  evaluationMode: ALWAYS_DENY
globalPolicyEvaluationMode: ENABLE
istioServiceIdentityAdmissionRules:
  SERVICE_IDENTITY_ID:
    enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
    evaluationMode: ENFORCEMENT_MODE
    requireAttestationsBy:
    - <var>ATTESTOR</var>
    - ...

name: projects/PROJECT_ID/policy

Ganti kode berikut:

• SERVICE_IDENTITY_ID: identitas layanan Cloud Service Mesh untuk mencakup aturan ini. Identitas layanan memiliki format berikut: PROJECT_ID.svc.id.goog/ns/NAMESPACE/sa/SERVICE_ACCOUNT. Di ID identitas layanan, ganti yang berikut ini:

  • PROJECT_ID: project ID tempat Anda menentukan resource Kubernetes.
  • NAMESPACE: namespace Kubernetes.
  • SERVICE_ACCOUNT: akun layanan.

• EVALUATION_MODE: Mode evaluasi menentukan jenis batasan yang diterapkan oleh penguat Otorisasi Biner pada waktu deployment. Ganti EVALUATION_MODE dengan salah satu opsi berikut:

  • ALWAYS_ALLOW: Mengizinkan semua gambar di-deploy.
  • ALWAYS_DENY: Melarang semua gambar di-deploy.
  • REQUIRE_ATTESTATION: Mengizinkan gambar di-deploy jika gambar memiliki satu atau beberapa pengesahan yang dapat diverifikasi oleh semua pengesah yang Anda tambahkan ke aturan ini. Pada waktu deployment, penegak memverifikasi pengesahan menggunakan pengesah yang Anda tambahkan ke daftar ATTESTOR dalam aturan ini. Untuk mempelajari cara membuat pengesah, lihat Membuat pengesah. Jika Anda menentukan REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttestationsBy yang berisi setidaknya satu pengesah. Untuk mempelajari cara membuat pengesah, lihat Membuat pengesah.

• ENFORCEMENT_MODE: Mode penerapan menentukan cara penegak merespons saat gambar melanggar aturan. Ganti ENFORCEMENT_MODE dengan salah satu dari yang berikut ini:

  • ENFORCED_BLOCK_AND_AUDIT_LOG: Memblokir gambar yang melanggar aturan dan mencatat informasi tentang pelanggaran ke Cloud Audit Logs (default).
  • DRYRUN_AUDIT_LOG_ONLY: Mengizinkan semua image di-deploy, tetapi mencatat informasi penerapan, termasuk informasi tentang pelanggaran, ke Cloud Audit Logs.

• ATTESTOR: Jika Anda menetapkan EVALUATION_MODE ke REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttesationsBy. Di blok, Anda mencantumkan satu atau beberapa pengesah, menurut ID resource. ID resource memiliki format:

  projects/PROJECT_ID/attestors/ATTESTOR_NAME.

  Untuk mempelajari lebih lanjut cara membuat pengesah, lihat Membuat pengesah.

Menetapkan aturan untuk akun layanan Kubernetes

Untuk menetapkan aturan bagi akun layanan Kubernetes, edit file policy.yaml Anda dan tambahkan blok kubernetesServiceAccountAdmissionRules, misalnya:

defaultAdmissionRule:
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
  evaluationMode: ALWAYS_DENY
globalPolicyEvaluationMode: ENABLE
kubernetesServiceAccountAdmissionRules:
  KUBERNETES_SERVICE_ACCOUNT_ID:
    enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
    evaluationMode: ENFORCEMENT_MODE
    requireAttestationsBy:
    - <var>ATTESTOR</var>
    - ...
name: projects/PROJECT_ID/policy

Ganti kode berikut:

• KUBERNETES_SERVICE_ACCOUNT_ID: Akun layanan Kubernetes untuk menentukan cakupan aturan. ID akun layanan ini memiliki format: NAMESPACE:SERVICE_ACCOUNT. Di ID akun layanan, ganti yang berikut:

  • NAMESPACE: namespace Kubernetes.
  • SERVICE_ACCOUNT: nama akun layanan.

• EVALUATION_MODE: Mode evaluasi menentukan jenis batasan yang diterapkan oleh penguat Otorisasi Biner pada waktu deployment. Ganti EVALUATION_MODE dengan salah satu opsi berikut:

  • ALWAYS_ALLOW: Mengizinkan semua gambar di-deploy.
  • ALWAYS_DENY: Melarang semua gambar di-deploy.
  • REQUIRE_ATTESTATION: Mengizinkan gambar di-deploy jika gambar memiliki satu atau beberapa pengesahan yang dapat diverifikasi oleh semua pengesah yang Anda tambahkan ke aturan ini. Pada waktu deployment, penegak memverifikasi pengesahan menggunakan pengesah yang Anda tambahkan ke daftar ATTESTOR dalam aturan ini. Untuk mempelajari cara membuat pengesah, lihat Membuat pengesah. Jika menentukan REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttestationsBy yang berisi setidaknya satu pengesah. Untuk mempelajari cara membuat pengesah, lihat Membuat pengesah.

• ENFORCEMENT_MODE: Mode penerapan menentukan cara penegak merespons saat gambar melanggar aturan. Ganti ENFORCEMENT_MODE dengan salah satu dari yang berikut ini:

  • ENFORCED_BLOCK_AND_AUDIT_LOG: Memblokir gambar yang melanggar aturan dan mencatat informasi tentang pelanggaran ke Cloud Audit Logs (default).
  • DRYRUN_AUDIT_LOG_ONLY: Mengizinkan semua image di-deploy, tetapi mencatat informasi penerapan, termasuk informasi tentang pelanggaran, ke Cloud Audit Logs.

• ATTESTOR: Jika Anda menetapkan EVALUATION_MODE ke REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttesationsBy. Di blok, Anda mencantumkan satu atau beberapa pengesah, menurut ID resource. ID resource memiliki format:

  projects/PROJECT_ID/attestors/ATTESTOR_NAME.

  Untuk mempelajari lebih lanjut cara membuat pengesah, lihat Membuat pengesah.

Menetapkan aturan untuk namespace Kubernetes

Untuk menetapkan aturan bagi namespace Kubernetes, edit file policy.yaml Anda dan tambahkan blok kubernetesNamespaceAdmissionRules, misalnya:

defaultAdmissionRule:
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
  evaluationMode: ALWAYS_DENY
globalPolicyEvaluationMode: ENABLE
kubernetesNamespaceAdmissionRules:
  KUBERNETES_NAMESPACE:
    enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
    evaluationMode: EVALUATION_MODE
    requireAttestationsBy:
    - <var>ATTESTOR</var>
    - ...
name: projects/PROJECT_ID/policy

Ganti kode berikut:

• KUBERNETES_NAMESPACE: Namespace Kubernetes untuk mencakup aturan ini.

• EVALUATION_MODE: Mode evaluasi menentukan jenis batasan yang diterapkan oleh penguat Otorisasi Biner pada waktu deployment. Ganti EVALUATION_MODE dengan salah satu opsi berikut:

  • ALWAYS_ALLOW: Mengizinkan semua gambar di-deploy.
  • ALWAYS_DENY: Melarang semua gambar di-deploy.
  • REQUIRE_ATTESTATION: Mengizinkan gambar di-deploy jika gambar memiliki satu atau beberapa pengesahan yang dapat diverifikasi oleh semua pengesah yang Anda tambahkan ke aturan ini. Pada waktu deployment, penegak memverifikasi pengesahan menggunakan pengesah yang Anda tambahkan ke daftar ATTESTOR dalam aturan ini. Untuk mempelajari cara membuat pengesah, lihat Membuat pengesah. Jika menentukan REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttestationsBy yang berisi setidaknya satu pengesah. Untuk mempelajari cara membuat pengesah, lihat Membuat pengesah.

• ENFORCEMENT_MODE: Mode penerapan menentukan cara penegak merespons saat gambar melanggar aturan. Ganti ENFORCEMENT_MODE dengan salah satu dari yang berikut ini:

  • ENFORCED_BLOCK_AND_AUDIT_LOG: Memblokir gambar yang melanggar aturan dan mencatat informasi tentang pelanggaran ke Cloud Audit Logs (default).
  • DRYRUN_AUDIT_LOG_ONLY: Mengizinkan semua image di-deploy, tetapi mencatat informasi penerapan, termasuk informasi tentang pelanggaran, ke Cloud Audit Logs.

• ATTESTOR: Jika Anda menetapkan EVALUATION_MODE ke REQUIRE_ATTESTATION, Anda juga harus menambahkan blok requireAttesationsBy. Di blok, Anda mencantumkan satu atau beberapa pengesah, menurut ID resource. ID resource memiliki format:

  projects/PROJECT_ID/attestors/ATTESTOR_NAME.

  Untuk mempelajari lebih lanjut cara membuat pengesah, lihat Membuat pengesah.

Impor file YAML kebijakan

Bagian ini berlaku untuk GKE, Distributed Cloud, Cloud Run, dan Cloud Service Mesh.

Impor kembali file YAML kebijakan ke Otorisasi Biner dengan memasukkan berikut ini:

gcloud container binauthz policy import /tmp/policy.yaml

Catatan: Diperlukan waktu beberapa menit agar kebijakan diterapkan.

Langkah berikutnya

• Gunakan pengesah built-by-cloud-build untuk men-deploy hanya image yang dibuat oleh Cloud Build.
• Menggunakan pengesahan.
• Deploy image GKE.