Configura un criterio mediante gcloud CLI

Questa pagina fornisce le istruzioni per configurare un criterio di Autorizzazione binaria utilizzando Google Cloud CLI. In alternativa, puoi anche eseguire queste attività utilizzando la console Google Cloud o l'API REST. Questo passaggio fa parte della configurazione di Autorizzazione binaria.

Per configurare un criterio utilizzando lo strumento a riga di comando, devi esportare il criterio esistente come file YAML. Dopo aver modificato il file, puoi importarlo per aggiornare il criterio, come descritto più avanti in questa guida. Per ulteriori informazioni sul formato YAML dei criteri, consulta la pagina Riferimento YAML per i criteri.

Prima di iniziare

Abilita Autorizzazione binaria.
Crea un cluster.
Se intendi utilizzare gli attestati, ti consigliamo di creare attestatori prima di configurare il criterio. Puoi creare attestatori utilizzando uno strumento a riga di comando o tramite la console Google Cloud.
Imposta l'ID progetto sul progetto in cui hai abilitato Autorizzazione binaria:
```
PROJECT_ID=PROJECT_ID
gcloud config set project ${PROJECT_ID}
```

Esporta il file YAML del criterio

Questa sezione si applica a GKE, cluster Anthos, Cloud Run e Anthos Service Mesh.

Per aggiornare il criterio, devi prima esportarlo in un file YAML locale, come segue:

gcloud container binauthz policy export > /tmp/policy.yaml

Per impostazione predefinita, i contenuti del file sono simili ai seguenti:

admissionWhitelistPatterns:
- namePattern: gcr.io/google_containers/*
- namePattern: gcr.io/google-containers/*
- namePattern: k8s.gcr.io/**
- namePattern: gke.gcr.io/**
- namePattern: gcr.io/stackdriver-agents/*
globalPolicyEvaluationMode: ENABLE
defaultAdmissionRule:
  evaluationMode: EVALUATION_MODE
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
name: projects/PROJECT_ID/policy

Per modificare il criterio, modifica il file e aggiungi o aggiorna sezioni, come descritto più avanti in questa guida. Dopo aver salvato il file, puoi importare il criterio.

Nota: per impostazione predefinita, l'elenco admissionWhitelistPatterns potrebbe contenere altri percorsi immagine consigliati.

Impostare la regola predefinita

Questa sezione si applica a GKE, cluster Anthos, Cloud Run e Anthos Service Mesh.

Una regola è la parte di un criterio che definisce i vincoli che le immagini container devono soddisfare prima di poterne eseguire il deployment. La regola predefinita definisce i vincoli che si applicano a tutte le immagini non esenti che non hanno una propria regola specifica per il cluster. Ogni criterio deve avere una regola predefinita.

La regola predefinita è definita nel nodo defaultAdmissionRule nel file YAML del criterio. Per ulteriori informazioni sulle parti di questa regola, consulta ADMISSION_RULE nel riferimento YAML dei criteri. Per alcuni esempi di regole predefinite, consulta la pagina relativa ai criteri di esempio.

Per impostare la regola predefinita, modifica il nodo defaultAdmissionRule nel file policy.yaml come richiesto:

defaultAdmissionRule:
  evaluationMode: EVALUATION_MODE
  enforcementMode: ENFORCEMENT_MODE
  requireAttestationsBy:
  - ATTESTOR
  - ...

Sostituisci quanto segue:

EVALUATION_MODE: la modalità di valutazione specifica il tipo di vincolo che l'applicatore di Autorizzazione binaria applica al momento del deployment. Sostituisci EVALUATION_MODE con una delle seguenti opzioni:
- ALWAYS_ALLOW: consente il deployment di tutte le immagini.
- ALWAYS_DENY: non consente il deployment di tutte le immagini.
- REQUIRE_ATTESTATION: consente il deployment di un'immagine se all'immagine è associata un'attestazione. In fase di deployment, l'applicatore verifica l'attestato utilizzando gli attestatori che aggiungi all'elenco ATTESTOR in questa regola. Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori. Se specifichi REQUIRE_ATTESTATION, devi anche aggiungere un blocco requireAttestationsBy contenente almeno un attestatore. Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori.
ENFORCEMENT_MODE: la modalità di applicazione forzata specifica il modo in cui l'applicatore risponde quando un'immagine viola una regola. Sostituisci ENFORCEMENT_MODE con uno dei seguenti valori:
- ENFORCED_BLOCK_AND_AUDIT_LOG: blocca le immagini che violano la regola e registra le informazioni sulla violazione in Cloud Audit Logs (impostazione predefinita).
- DRYRUN_AUDIT_LOG_ONLY: consenti il deployment di tutte le immagini, ma registra le informazioni di applicazione, incluse quelle sulle violazioni, in Cloud Audit Logs.
ATTESTOR: se imposti EVALUATION_MODE su REQUIRE_ATTESTATION, devi aggiungere anche un blocco requestAttesationsBy. Nel blocco, elenca uno o più attestatori, per ID risorsa. L'ID risorsa ha il formato:

projects/PROJECT_ID/attestors/ATTESTOR_NAME.

Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori.

Gestisci le immagini esenti

Questa sezione si applica a GKE, cluster Anthos, Cloud Run e Anthos Service Mesh.

Un'immagine esente è un'immagine esente dalle regole dei criteri. Autorizzazione binaria consente sempre il deployment di immagini esenti.

Puoi specificare le immagini esenti elencando i relativi percorsi del registro in admissionWhitelistPatterns. Il percorso si riferisce a Container Registry o a un altro registro di immagini. Al momento del deployment, Autorizzazione binaria esente dall'elenco di immagini specificate da admissionWhitelistPatterns dopo le immagini specificate dal criterio di sistema.

Per aggiungere un'immagine esente, aggiungi un nodo namePattern in un elenco admissionWhitelistPatterns nel file policy.yaml:

admissionWhitelistPatterns:
- namePattern: MATCHING_PATTERN

Sostituisci MATCHING_PATTERN con il percorso di una singola immagine nel registro per corrispondenza esatta o con il percorso di qualsiasi immagine corrispondente a un pattern utilizzando il simbolo del carattere jolly (*, **).

Cloud Run

Questa sezione riguarda Cloud Run.

Non puoi specificare direttamente nomi di immagini che contengono un tag. Ad esempio, non puoi specificare IMAGE_PATH:latest.

Se vuoi specificare nomi di immagini che contengano tag, devi specificare il nome dell'immagine utilizzando un carattere jolly, nel seguente modo:

* per tutte le versioni di una singola immagine; ad esempio, us-docker.pkg.dev/myproject/container/hello@*
** per tutte le immagini di un progetto; ad esempio, us-docker.pkg.dev/myproject/**

Puoi utilizzare i nomi dei percorsi per specificare un digest nel formato IMAGE_PATH@DIGEST.

Modalità di valutazione dei criteri di sistema

Questa sezione si applica ai cluster GKE e Anthos.

La modalità di valutazione dei criteri di sistema è un'impostazione del criterio che fa sì che Autorizzazione binaria valuti un criterio di sistema prima di valutare il criterio che configuri. Google gestisce il criterio di sistema, che esenta un elenco di immagini di sistema gestite da Google utilizzate da GKE. Le immagini elencate nel criterio di sistema non sono bloccate dall'applicazione del criterio. Se non abiliti l'impostazione, devi gestire autonomamente l'elenco delle immagini esenti. Scopri come gestire le immagini esenti.

Puoi visualizzare i contenuti del criterio di sistema utilizzando il seguente comando:

gcloud alpha container binauthz policy export-system-policy

Per abilitare la modalità di valutazione dei criteri di sistema, aggiungi la seguente riga al file policy.yaml:

globalPolicyEvaluationMode: ENABLE

Per disattivare la modalità di valutazione dei criteri di sistema, aggiungi quanto segue:

globalPolicyEvaluationMode: DISABLE

Puoi esportare il criterio di sistema associato a una regione specifica come segue:

gcloud alpha container binauthz policy export-system-policy \
  --location=REGION > /tmp/policy.yaml

Sostituisci REGION con la regione associata al criterio di sistema che vuoi esportare (o "globale"). Alcuni esempi sono: asia-east1, europe-west1 e us-central1.

Se ometti --location o specifichi --location=global, il comando genera un criterio di sistema da una regione nell'ultimo gruppo di regioni a ricevere gli aggiornamenti. Poiché la maggior parte delle modifiche ai criteri di sistema sono aggiunte, l'output mostra l'insieme di immagini di sistema attualmente consentite in tutte le regioni.

Imposta regole specifiche per il cluster (facoltativo)

Questa sezione si applica ai cluster GKE e Anthos.

Un cluster può anche avere una o più regole specifiche del cluster. Questo tipo di regola si applica alle immagini di cui verrà eseguito il deployment solo in cluster GKE specifici. Le regole specifiche del cluster sono una parte facoltativa di un criterio.

Le regole specifiche del cluster sono definite nei nodi clusterAdmissionRules nel file YAML del criterio. Per ulteriori informazioni sulle parti di questa regola, consulta ADMISSION_RULE nel riferimento YAML dei criteri. Per un esempio, consulta Utilizzare una regola specifica per il cluster in Criteri di esempio.

Per aggiungere una regola specifica per il cluster:

Nel file policy.yaml, aggiungi un nodo clusterAdmissionRules:

clusterAdmissionRules:
  CLUSTER_SPECIFIER:
    evaluationMode: EVALUATION_MODE
    enforcementMode: ENFORCEMENT_MODE
    requireAttestationsBy:
    - ATTESTOR
    - ...

Sostituisci quanto segue:

CLUSTER_SPECIFIER: l'ID risorsa del cluster a cui si applica la regola. La regola viene formattata nel seguente modo:
- Per GKE, i cluster collegati ad Anthos e i cluster Anthos su AWS, il formato è CLUSTER_LOCATION.CLUSTER_NAME, ad esempio us-central1-a.test-cluster.
- Per Anthos clusters on bare metal e Cluster Anthos su VMware, il formato è FLEET_MEMBERSHIP_LOCATION.FLEET_MEMBERSHIP_ID, ad esempio global.test-membership.
  
  Le altre proprietà sono descritte in Impostare la regola predefinita in precedenza in questa guida. Consulta i criteri di esempio per un esempio di regola specifica per il cluster.
EVALUATION_MODE: la modalità di valutazione specifica il tipo di vincolo che l'applicatore di Autorizzazione binaria applica al momento del deployment. Sostituisci EVALUATION_MODE con una delle seguenti opzioni:
- ALWAYS_ALLOW: consente il deployment di tutte le immagini.
- ALWAYS_DENY: non consente il deployment di tutte le immagini.
- REQUIRE_ATTESTATION: consente il deployment di un'immagine se all'immagine è associata un'attestazione. In fase di deployment, l'applicatore verifica l'attestato utilizzando gli attestatori che aggiungi all'elenco ATTESTOR in questa regola. Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori. Se specifichi REQUIRE_ATTESTATION, devi anche aggiungere un blocco requireAttestationsBy contenente almeno un attestatore. Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori.
ENFORCEMENT_MODE: la modalità di applicazione forzata specifica il modo in cui l'applicatore risponde quando un'immagine viola una regola. Sostituisci ENFORCEMENT_MODE con uno dei seguenti valori:
- ENFORCED_BLOCK_AND_AUDIT_LOG: blocca le immagini che violano la regola e registra le informazioni sulla violazione in Cloud Audit Logs (impostazione predefinita).
- DRYRUN_AUDIT_LOG_ONLY: consenti il deployment di tutte le immagini, ma registra le informazioni di applicazione, incluse quelle sulle violazioni, in Cloud Audit Logs.
ATTESTOR: se imposti EVALUATION_MODE su REQUIRE_ATTESTATION, devi aggiungere anche un blocco requestAttesationsBy. Nel blocco, elenca uno o più attestatori, per ID risorsa. L'ID risorsa ha il formato:

projects/PROJECT_ID/attestors/ATTESTOR_NAME.

Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori.

Imposta regole specifiche (facoltativo)

Puoi creare regole che hanno come ambito un'identità di servizio mesh, un account di servizio Kubernetes o uno spazio dei nomi Kubernetes.

Imposta una regola per un'identità del servizio Anthos Service Mesh

Per impostare una regola per un'identità di servizio Anthos Service Mesh (Anteprima), modifica il file policy.yaml e aggiungi un blocco istioServiceIdentityAdmissionRules, ad esempio:

defaultAdmissionRule:
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
  evaluationMode: ALWAYS_DENY
globalPolicyEvaluationMode: ENABLE
istioServiceIdentityAdmissionRules:
  SERVICE_IDENTITY_ID:
    enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
    evaluationMode: ENFORCEMENT_MODE
    requireAttestationsBy:
    - <var>ATTESTOR</var>
    - ...

name: projects/PROJECT_ID/policy

Sostituisci quanto segue:

SERVICE_IDENTITY_ID: l'identità del servizio Anthos Service Mesh a cui definire l'ambito di questa regola. L'identità del servizio ha il seguente formato: PROJECT_ID.svc.id.goog/ns/NAMESPACE/sa/SERVICE_ACCOUNT. Nell'ID identità del servizio, sostituisci quanto segue:
- PROJECT_ID: l'ID progetto in cui definisci le tue risorse Kubernetes.
- NAMESPACE: lo spazio dei nomi Kubernetes.
- SERVICE_ACCOUNT: l'account di servizio.
EVALUATION_MODE: la modalità di valutazione specifica il tipo di vincolo che l'applicatore di Autorizzazione binaria applica al momento del deployment. Sostituisci EVALUATION_MODE con una delle seguenti opzioni:
- ALWAYS_ALLOW: consente il deployment di tutte le immagini.
- ALWAYS_DENY: non consente il deployment di tutte le immagini.
- REQUIRE_ATTESTATION: consente il deployment di un'immagine se all'immagine è associata un'attestazione. In fase di deployment, l'applicatore verifica l'attestato utilizzando gli attestatori che aggiungi all'elenco ATTESTOR in questa regola. Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori. Se specifichi REQUIRE_ATTESTATION, devi anche aggiungere un blocco requireAttestationsBy contenente almeno un attestatore. Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori.
ENFORCEMENT_MODE: la modalità di applicazione forzata specifica il modo in cui l'applicatore risponde quando un'immagine viola una regola. Sostituisci ENFORCEMENT_MODE con uno dei seguenti valori:
- ENFORCED_BLOCK_AND_AUDIT_LOG: blocca le immagini che violano la regola e registra le informazioni sulla violazione in Cloud Audit Logs (impostazione predefinita).
- DRYRUN_AUDIT_LOG_ONLY: consenti il deployment di tutte le immagini, ma registra le informazioni di applicazione, incluse quelle sulle violazioni, in Cloud Audit Logs.
ATTESTOR: se imposti EVALUATION_MODE su REQUIRE_ATTESTATION, devi aggiungere anche un blocco requestAttesationsBy. Nel blocco, elenca uno o più attestatori, per ID risorsa. L'ID risorsa ha il formato:

projects/PROJECT_ID/attestors/ATTESTOR_NAME.

Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori.

Imposta una regola per un account di servizio Kubernetes

Per impostare una regola per un account di servizio Kubernetes, modifica il file policy.yaml e aggiungi un blocco kubernetesServiceAccountAdmissionRules, ad esempio:

defaultAdmissionRule:
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
  evaluationMode: ALWAYS_DENY
globalPolicyEvaluationMode: ENABLE
kubernetesServiceAccountAdmissionRules:
  KUBERNETES_SERVICE_ACCOUNT_ID:
    enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
    evaluationMode: ENFORCEMENT_MODE
    requireAttestationsBy:
    - <var>ATTESTOR</var>
    - ...
name: projects/PROJECT_ID/policy

Sostituisci quanto segue:

KUBERNETES_SERVICE_ACCOUNT_ID: l'account di servizio Kubernetes a cui definire l'ambito della regola. Questo ID dell'account di servizio ha il formato: NAMESPACE:SERVICE_ACCOUNT. Nell'ID dell'account di servizio, sostituisci quanto segue:
- NAMESPACE: lo spazio dei nomi Kubernetes.
- SERVICE_ACCOUNT: il nome dell'account di servizio.
EVALUATION_MODE: la modalità di valutazione specifica il tipo di vincolo che l'applicatore di Autorizzazione binaria applica al momento del deployment. Sostituisci EVALUATION_MODE con una delle seguenti opzioni:
- ALWAYS_ALLOW: consente il deployment di tutte le immagini.
- ALWAYS_DENY: non consente il deployment di tutte le immagini.
- REQUIRE_ATTESTATION: consente il deployment di un'immagine se all'immagine è associata un'attestazione. In fase di deployment, l'applicatore verifica l'attestato utilizzando gli attestatori che aggiungi all'elenco ATTESTOR in questa regola. Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori. Se specifichi REQUIRE_ATTESTATION, devi anche aggiungere un blocco requireAttestationsBy contenente almeno un attestatore. Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori.
ENFORCEMENT_MODE: la modalità di applicazione forzata specifica il modo in cui l'applicatore risponde quando un'immagine viola una regola. Sostituisci ENFORCEMENT_MODE con uno dei seguenti valori:
- ENFORCED_BLOCK_AND_AUDIT_LOG: blocca le immagini che violano la regola e registra le informazioni sulla violazione in Cloud Audit Logs (impostazione predefinita).
- DRYRUN_AUDIT_LOG_ONLY: consenti il deployment di tutte le immagini, ma registra le informazioni di applicazione, incluse quelle sulle violazioni, in Cloud Audit Logs.
ATTESTOR: se imposti EVALUATION_MODE su REQUIRE_ATTESTATION, devi aggiungere anche un blocco requestAttesationsBy. Nel blocco, elenca uno o più attestatori, per ID risorsa. L'ID risorsa ha il formato:

projects/PROJECT_ID/attestors/ATTESTOR_NAME.

Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori.

Impostare una regola per uno spazio dei nomi Kubernetes

Per impostare una regola per uno spazio dei nomi Kubernetes, modifica il file policy.yaml e aggiungi un blocco kubernetesNamespaceAdmissionRules, ad esempio:

defaultAdmissionRule:
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
  evaluationMode: ALWAYS_DENY
globalPolicyEvaluationMode: ENABLE
kubernetesNamespaceAdmissionRules:
  KUBERNETES_NAMESPACE:
    enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
    evaluationMode: EVALUATION_MODE
    requireAttestationsBy:
    - <var>ATTESTOR</var>
    - ...
name: projects/PROJECT_ID/policy

Sostituisci quanto segue:

KUBERNETES_NAMESPACE: lo spazio dei nomi Kubernetes a cui definire l'ambito di questa regola.
EVALUATION_MODE: la modalità di valutazione specifica il tipo di vincolo che l'applicatore di Autorizzazione binaria applica al momento del deployment. Sostituisci EVALUATION_MODE con una delle seguenti opzioni:
- ALWAYS_ALLOW: consente il deployment di tutte le immagini.
- ALWAYS_DENY: non consente il deployment di tutte le immagini.
- REQUIRE_ATTESTATION: consente il deployment di un'immagine se all'immagine è associata un'attestazione. In fase di deployment, l'applicatore verifica l'attestato utilizzando gli attestatori che aggiungi all'elenco ATTESTOR in questa regola. Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori. Se specifichi REQUIRE_ATTESTATION, devi anche aggiungere un blocco requireAttestationsBy contenente almeno un attestatore. Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori.
ENFORCEMENT_MODE: la modalità di applicazione forzata specifica il modo in cui l'applicatore risponde quando un'immagine viola una regola. Sostituisci ENFORCEMENT_MODE con uno dei seguenti valori:
- ENFORCED_BLOCK_AND_AUDIT_LOG: blocca le immagini che violano la regola e registra le informazioni sulla violazione in Cloud Audit Logs (impostazione predefinita).
- DRYRUN_AUDIT_LOG_ONLY: consenti il deployment di tutte le immagini, ma registra le informazioni di applicazione, incluse quelle sulle violazioni, in Cloud Audit Logs.
ATTESTOR: se imposti EVALUATION_MODE su REQUIRE_ATTESTATION, devi aggiungere anche un blocco requestAttesationsBy. Nel blocco, elenca uno o più attestatori, per ID risorsa. L'ID risorsa ha il formato:

projects/PROJECT_ID/attestors/ATTESTOR_NAME.

Per scoprire di più sulla creazione di attestatori, consulta Creazione di attestatori.

Importa il file YAML del criterio

Questa sezione si applica a GKE, cluster Anthos, Cloud Run e Anthos Service Mesh.

Importa nuovamente il file YAML del criterio in Autorizzazione binaria inserendo quanto segue:

gcloud container binauthz policy import /tmp/policy.yaml

Passaggi successivi

Utilizza l'attestatore built-by-cloud-build per eseguire il deployment solo delle immagini create da Cloud Build (anteprima).
Utilizzare le attestazioni.
Esegui il deployment di un'immagine GKE.