Configurare un criterio utilizzando la console Google Cloud

Questa pagina fornisce istruzioni per configurare un criterio di Autorizzazione binaria utilizzando la console Google Cloud. In alternativa, puoi eseguire queste attività utilizzando Google Cloud CLI o API REST. Questo passaggio fa parte della configurazione di Autorizzazione binaria.

Un criterio è un insieme di regole che regolano il deployment di una o più immagini container.

Nota: questa pagina descrive come configurare un criterio per l'impostazione piattaforme supportate da Autorizzazione binaria, tra cui Google Kubernetes Engine (GKE), Distributed Cloud, Cloud Run e Cloud Service Mesh. Le impostazioni dei criteri, ad esempio tipo di regola, e il formato dei parametri possono variare a seconda delle piattaforme per gli utilizzi odierni. Per questo motivo, ogni sezione di questa pagina indica le piattaforme a cui si applicano le impostazioni. Assicurati che le impostazioni che utilizzi siano supportate per le tue piattaforme.

Prima di iniziare

1. Attiva Autorizzazione binaria.

2. Abilita Autorizzazione binaria per la tua piattaforma:

   • Utenti di Google Kubernetes Engine (GKE): crea un cluster con l'autorizzazione binaria abilitata.

   • Utenti di Cloud Run: attiva Autorizzazione binaria sul tuo servizio.

3. Se intendi utilizzare attestazioni, ti consigliamo devi creare gli attestori prima di configurare . Puoi creare attestatori utilizzando la console Google Cloud o tramite uno strumento a riga di comando.

4. Seleziona l'ID per il progetto in cui hai abilitato Autorizzazione binaria.

Impostare la regola predefinita

Questa sezione si applica a GKE, GKE Multi-Cloud, Distributed Cloud, Cloud Run e Cloud Service Mesh.

Una regola è la parte di un criterio che definisce i vincoli che le immagini devono soddisfare prima di poter essere implementate. La regola predefinita definisce i vincoli che si applicano a tutte le immagini container non esenti che non hanno regole specifiche per il cluster. Ogni criterio ha una regola predefinita.

Per impostare la regola predefinita:

1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

   Vai alla pagina Autorizzazione binaria

2. Fai clic sulla scheda Norme.

3. Fai clic su Modifica criterio.

4. Imposta la modalità di valutazione per la regola predefinita.

   La modalità di valutazione specifica il tipo di vincolo applicato da Autorizzazione binaria al momento del deployment. Per impostare la modalità di valutazione, seleziona una delle le seguenti opzioni:

   • Consenti tutte le immagini: consente il deployment di tutte le immagini.
   • Nega tutte le immagini: non consente il deployment di tutte le immagini.
   • Consenti solo le immagini approvate dai seguenti attestatori: consente di eseguire il deployment di un'immagine se questa ha una o più attestazioni che possono essere verificate da tutti gli attestatori che aggiungi a questa regola. Per ulteriori informazioni sulla creazione di attestatori, consulta Creazione di attestatori.

   Se hai selezionato Consenti solo le immagini approvate da attestatori:

   1. Ottieni il nome o l'ID risorsa dell'attestatore.

      Nella console Google Cloud, nella pagina Attestatori, puoi visualizzare gli attestatori esistenti o crearne uno nuovo.

      Vai alla pagina degli attestatori di autorizzazione binaria

   2. Fai clic su Aggiungi attestatori.

   3. Seleziona una delle seguenti opzioni:

      • Aggiungi in base a nome progetto e attestatore

        Il progetto si riferisce all'ID progetto che memorizza i tuoi attestatori. Un esempio di nome di attestatore è build-qa.

      • Aggiungi per ID risorsa attestatore

        Un ID risorsa ha il seguente formato:

        projects/PROJECT_ID/attestors/ATTESTOR_NAME
        

   4. In Attestatori, inserisci i valori appropriati per l'opzione selezionata.

   5. Fai clic su Aggiungi un altro attestatore se vuoi aggiungere altri attestatori.

   6. Fai clic su Aggiungi attestatori per salvare la regola.

Nota: non è consigliabile utilizzare la modalità di valutazione Consenti tutto nella regola predefinita. In questo modo, è possibile eseguire il deployment di tutte le immagini container, a meno che non soddisfino le aspettative. una regola specifica per il cluster o un'altra regola specifica nel criterio.

Se vuoi attivare la modalità dry run, esegui la seguenti:

1. Seleziona Modalità dry run.

2. Fai clic su Save Policy (Salva criterio).

Nota: l'applicazione del criterio può richiedere alcuni minuti.

Imposta regole specifiche per il cluster (facoltativo)

Questa sezione riguarda GKE, Distributed Cloud e Cloud Service Mesh.

Un criterio può anche avere una o più regole specifiche per il cluster. Questo tipo di regola si applica alle immagini container che devono essere dipiattate solo in cluster Google Kubernetes Engine (GKE) specifici. Le regole specifiche per i cluster sono una parte facoltativa di un criterio.

Aggiungi una regola specifica per il cluster (GKE)

Questa sezione si applica a GKE e Distributed Cloud.

Per aggiungere una regola specifica per un cluster GKE, procedi nel seguente modo:

1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

   Vai alla pagina Autorizzazione binaria

2. Fai clic sulla scheda Norme.

3. Fai clic su Modifica criterio.

4. Espandi la sezione Impostazioni aggiuntive per i deployment GKE e GKE Enterprise.

5. Se non è impostato alcun tipo di regola specifica, fai clic su Crea regole specifiche.

   1. Per selezionare il tipo di regola, fai clic su Tipo di regola specifica.

   2. Per modificare il tipo di regola, fai clic su Modifica.

6. Fai clic su Aggiungi regola specifica.

7. Nel campo ID risorsa cluster, inserisci l'ID risorsa del cluster.

   L'ID risorsa per il cluster ha il formato LOCATION.NAME, ad esempio, us-central1-a.test-cluster.

8. Imposta la modalità di valutazione per la regola predefinita.

   La modalità di valutazione specifica il tipo di vincolo applicato da Autorizzazione binaria al momento del deployment. Per impostare la modalità di valutazione, seleziona una delle seguenti opzioni:

   • Consenti tutte le immagini: consente il deployment di tutte le immagini.
   • Nega tutte le immagini: non consente il deployment di tutte le immagini.
   • Consenti solo le immagini approvate dai seguenti attestatori: Consente il deployment di un'immagine se questa ha una o più attestazioni che possono essere verificati da tutti gli attestatori aggiunti a questa regola. Per scoprire come creare gli attestatori, consulta Creare attestatori.

   Se hai selezionato Consenti solo le immagini approvate da attestatori:

   1. Ottieni il nome o l'ID risorsa dell'attestatore.

      Nella pagina Attestatori della console Google Cloud puoi visualizzare a quelli esistenti o crearne uno nuovo.

      Vai alla pagina degli attestatori di autorizzazione binaria

   2. Fai clic su Aggiungi attestatori.

   3. Seleziona una delle seguenti opzioni:

      • Aggiungi in base a nome progetto e attestatore

        Il progetto si riferisce all'ID progetto che memorizza i tuoi attestatori. Un esempio di nome di attestatore è build-qa.

      • Aggiungi per ID risorsa attestatore

        Un ID risorsa ha il seguente formato:

        projects/PROJECT_ID/attestors/ATTESTOR_NAME
        

   4. In Attestatori, inserisci i valori appropriati per l'opzione selezionata.

   5. Fai clic su Aggiungi un altro attestatore se vuoi aggiungere altri attestatori.

   6. Fai clic su Aggiungi attestatori per salvare la regola.

9. Fai clic su Aggiungi per aggiungere la regola specifica per il cluster.

   Potresti visualizzare il messaggio "Sembra che questo cluster non esistono. Questa regola avrà comunque effetto se il cluster diventa disponibile in GKE nel futuro". In questo caso, fai di nuovo clic su Aggiungi per salvare la regola.

10. Se vuoi attivare la modalità di prova, seleziona Modalità di prova.

11. Fai clic su Save Policy (Salva criterio).

Nota: l'applicazione del criterio può richiedere alcuni minuti.

Aggiungi una regola specifica per il cluster (GKE Multi-Cloud,Distributed Cloud)

Anteprima

Questo prodotto o funzionalità è soggetto ai "Termini delle Offerte pre-GA" nella sezione Termini generali del servizio dei Termini specifici del servizio. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

Questa sezione riguarda Distributed Cloud.

Per aggiungere una regola specifica per un cluster GKE, esegui la seguenti:

1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

   Vai alla pagina Autorizzazione binaria

2. Fai clic sulla scheda Norme.

3. Fai clic su Modifica criterio.

4. Espandi la sezione Impostazioni aggiuntive per i deployment GKE e GKE Enterprise.

5. Se non è impostato alcun tipo di regola specifica, fai clic su Crea regole specifiche.

   1. Per selezionare il tipo di regola, fai clic su Tipo di regola specifica.

   2. Per aggiornare il tipo di regola, fai clic su Modifica.

6. Fai clic su Aggiungi regola specifica.

7. Nel campo ID risorsa cluster, inserisci l'ID risorsa per il cluster.

   • Per i cluster collegati a GKE GKE su AWS, il formato è CLUSTER_LOCATION.CLUSTER_NAME, ad esempio us-central1-a.test-cluster.
   • Per Google Distributed Cloud e Google Distributed Cloud, il formato è FLEET_MEMBERSHIP_LOCATION.FLEET_MEMBERSHIP_ID, ad esempio global.test-membership.

8. Imposta la modalità di valutazione per la regola predefinita.

   La modalità di valutazione specifica il tipo di vincolo applicato da Autorizzazione binaria al momento del deployment. Per impostare la modalità di valutazione, seleziona una delle le seguenti opzioni:

   • Consenti tutte le immagini: consente il deployment di tutte le immagini.
   • Nega tutte le immagini: non consente il deployment di tutte le immagini.
   • Consenti solo le immagini approvate dai seguenti attestatori: Consente il deployment di un'immagine se questa ha una o più attestazioni che possono essere verificati da tutti gli attestatori aggiunti a questa regola. Per ulteriori informazioni sulla creazione di attestatori, consulta Creazione di attestatori.

   Se hai selezionato Consenti solo le immagini approvate dai seguenti attestatori:

   1. Ottieni il nome o l'ID risorsa dell'attestatore.

      Nella pagina Attestatori della console Google Cloud puoi visualizzare a quelli esistenti o crearne uno nuovo.

      Vai alla pagina degli attestatori di autorizzazione binaria

   2. Fai clic su Aggiungi attestatori.

   3. Seleziona una delle seguenti opzioni:

      • Aggiungi in base a nome progetto e attestatore

        Il progetto si riferisce all'ID progetto che memorizza i tuoi attestatori. Un esempio di nome di attestatore è build-qa.

      • Aggiungi per ID risorsa attestatore

        Un ID risorsa ha il seguente formato:

        projects/PROJECT_ID/attestors/ATTESTOR_NAME
        

   4. In Attestatori, inserisci i valori appropriati per l'opzione selezionata.

   5. Fai clic su Aggiungi un altro attestatore se vuoi aggiungere altri attestatori.

   6. Fai clic su Aggiungi attestatori per salvare la regola.

9. Fai clic su Aggiungi per salvare la regola.

   Potresti visualizzare il messaggio "Sembra che questo cluster non esista. Questa regola continua ad avere effetto se il valore diventerà disponibile su GKE in futuro." In questo caso, fai di nuovo clic su Aggiungi per salvare la regola.

10. Se vuoi attivare la modalità di prova, seleziona Modalità di prova.

11. Fai clic su Save Policy (Salva criterio).

Nota: l'applicazione del criterio può richiedere alcuni minuti.

Aggiungi regole specifiche

Nota: questa funzionalità può essere attivata solo sui cluster in esecuzione sulle seguenti release di GKE:

• 1.18.12-gke.700+
• 1.19.4-gke.700+
• 1.20.0-gke.600+
• 1,21+

Puoi creare regole con ambito limitato a un'identità di servizio mesh, a un account di servizio Kubernetes o a uno spazio dei nomi Kubernetes. Puoi aggiungere o modificare una regola specifica nel seguente modo:

1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

   Vai alla pagina Autorizzazione binaria

2. Fai clic sulla scheda Norme.

3. Fai clic su Modifica criterio.

4. Espandi la sezione Impostazioni aggiuntive per i deployment GKE e Anthos.

5. Se non è impostato un tipo di regola specifico, fai clic su Crea regole specifiche.

   1. Fai clic su Tipo di regola specifica per selezionare il tipo di regola.

   2. Fai clic su Cambia per aggiornare il tipo di regola.

6. Se esiste un tipo di regola specifico, è possibile modificarlo nel seguente modo: facendo clic su Modifica tipo.

   Nota: puoi impostare un tipo di regola specifico per ogni criterio. Se il tipo di regola viene modificato, le regole create per il tipo originale verranno eliminate quando viene salvata la pagina delle norme.

7. Per aggiungere una regola specifica, fai clic su Aggiungi regola specifica. A seconda del tipo di regola scelto, inserisci un ID come segue:

   • Identità servizio ASM: inserisci l'identità servizio ASM, che ha il seguente formato: PROJECT_ID.svc.id.goog/ns/NAMESPACE/sa/SERVICE_ACCOUNT
   • Account di servizio Kubernetes: inserisci il tuo account di servizio Kubernetes, che ha il seguente formato: NAMESPACE:SERVICE_ACCOUNT.
   • Spazio dei nomi Kubernetes: inserisci lo spazio dei nomi Kubernetes, che ha lo seguente formato: NAMESPACE

   Sostituisci quanto segue, come richiesto, a seconda del tipo di regola:

   • PROJECT_ID: l'ID progetto in cui definisci di Kubernetes.
   • NAMESPACE: lo spazio dei nomi Kubernetes.
   • SERVICE_ACCOUNT: l'account di servizio.

8. Imposta la modalità di valutazione per il valore predefinito personalizzata.

   La modalità di valutazione specifica il tipo di vincolo di Autorizzazione binaria viene applicata al momento del deployment. Per impostare la modalità di valutazione, seleziona una delle seguenti opzioni:

   • Consenti tutte le immagini: consente il deployment di tutte le immagini.
   • Nega tutte le immagini: non consente il deployment di tutte le immagini.
   • Consenti solo le immagini approvate dai seguenti attestatori: Consente il deployment di un'immagine se questa ha una o più attestazioni che possono essere verificati da tutti gli attestatori aggiunti a questa regola. Per scoprire come creare gli attestatori, consulta Creare attestatori.

   Se hai selezionato Consenti solo le immagini approvate dai seguenti attestatori:

   1. Ottieni il nome o l'ID risorsa dell'attestatore.

      Nella pagina Attestatori della console Google Cloud puoi visualizzare a quelli esistenti o crearne uno nuovo.

      Vai alla pagina degli attestatori di autorizzazione binaria

   2. Fai clic su Aggiungi attestatori.

   3. Seleziona una delle seguenti opzioni:

      • Aggiungi in base a nome progetto e attestatore

        Il progetto si riferisce all'ID progetto che memorizza i tuoi attestatori. Un esempio di nome di attestatore è build-qa.

      • Aggiungi per ID risorsa attestatore

        Un ID risorsa ha il seguente formato:

        projects/PROJECT_ID/attestors/ATTESTOR_NAME
        

   4. In Attestatori, inserisci i valori appropriati per l'opzione selezionata.

   5. Fai clic su Aggiungi un altro attestatore se vuoi aggiungere altri attestatori.

   6. Fai clic su Aggiungi attestatori per salvare la regola.

9. Fai clic su Modalità dry run per attivare modalità dry run

10. Fai clic su Aggiungi per salvare la regola specifica.

11. Fai clic su Save Policy (Salva criterio).

Nota: l'applicazione del criterio può richiedere alcuni minuti.

Gestire le immagini esenti

Questa sezione riguarda GKE, Distributed Cloud, Cloud Run e Cloud Service Mesh.

Un'immagine esente è un'immagine, specificata da un percorso, esente dalle regole delle norme. Autorizzazione binaria consente sempre esente di cui eseguire il deployment.

Questo percorso può specificare una posizione in Container Registry o in un altro registry di immagini container.

Cloud Run

Questa sezione riguarda Cloud Run.

Non puoi specificare direttamente i nomi delle immagini che contengono un tag. Ad esempio, non puoi specificare IMAGE_PATH:più recente.

Se vuoi specificare nomi di immagini contenenti tag, devi specificare il nome dell'immagine utilizzando un carattere jolly come segue:

• * per tutte le versioni di un'unica immagine; ad esempio, us-docker.pkg.dev/myproject/container/hello@*
• ** per tutte le immagini in un progetto; ad esempio us-docker.pkg.dev/myproject/**

Puoi utilizzare i nomi dei percorsi per specificare un digest nel formato IMAGE_PATH@DIGEST.

Attiva il criterio di sistema

Questa sezione riguarda GKE e Distributed Cloud.

Accetta tutte le immagini di sistema fornite da Google è un'impostazione dei criteri che attiva il criterio di sistema di Autorizzazione binaria. Se questa impostazione viene abilitata al momento del deployment, Autorizzazione binaria esclude un elenco di immagini di sistema gestite da Google che sono richieste di GKE da un'ulteriore valutazione dei criteri. Il criterio di sistema valutato prima di qualsiasi altra impostazione dei criteri.

Nota: ti consigliamo di selezionare Trust all Google-provided system images. In questo modo Google può gestire la lista consentita delle immagini di sistema utilizzate da GKE. Google aggiorna questa lista consentita a ogni di GKE. Se non abiliti l'impostazione, devi gestire autonomamente la lista consentita.

Per attivare il criterio di sistema:

1. Vai alla pagina Autorizzazione binaria nella console Google Cloud.

   Vai ad Autorizzazione binaria

2. Fai clic su Modifica criterio.

3. Espandi la sezione Impostazioni aggiuntive per i deployment GKE e Anthos.

4. Seleziona Accetta tutte le immagini di sistema fornite da Google nella sezione Esenzione immagini di sistema Google.

   Per visualizzare le immagini esenti dalle norme di sistema, fai clic su Visualizza dettagli.

   Nota: le informazioni sui criteri di sistema potrebbero differire temporaneamente da una regione a un'altra regione mentre Google aggiorna la lista consentita. L'elenco di immagini visualizzato fa parte dell'ultimo gruppo di regioni che è stato aggiornato. Poiché la maggior parte delle modifiche ai criteri di sistema sono aggiunte, l'elenco mostra l'insieme di immagini di sistema attualmente consentite in tutte le regioni. Puoi visualizzare il criterio di sistema per una regione specifica utilizzando un comando gcloud.

5. Per specificare manualmente altre immagini esenti, espandi la sezione Regole di esenzione personalizzate in Immagini con esenzione da questo criterio.

   Poi, fai clic su Aggiungi pattern immagine e inserisci il percorso del registry di qualsiasi immagine aggiuntiva da esentare.

6. Fai clic su Save Policy (Salva criterio).

Nota: l'applicazione del criterio può richiedere alcuni minuti.

Passaggi successivi

• Utilizza l'attestatore built-by-cloud-build per eseguire il deployment solo delle immagini create da Cloud Build (anteprima).
• Utilizza le attestazioni.
• Esegui il deployment di un'immagine GKE.
• Visualizza gli eventi degli audit log di Cloud.
• Utilizza la convalida continua.
• Utilizza la convalida continua legacy (ritirato) per verificare la conformità alle norme.