Configurare un criterio utilizzando la console Google Cloud

Questa pagina fornisce istruzioni per configurare un criterio di Autorizzazione binaria utilizzando la console Google Cloud. In alternativa, puoi eseguire queste attività utilizzando Google Cloud CLI o l'API REST. Questo passaggio fa parte della configurazione di Autorizzazione binaria.

Un criterio è un insieme di regole che regolano il deployment di una o più immagini container.

Nota: questa pagina descrive come configurare un criterio per le piattaforme basate su container supportate da Autorizzazione binaria, tra cui Google Kubernetes Engine (GKE), cluster GKE, Cloud Run e Cloud Service Mesh. Le impostazioni dei criteri, come il tipo di regola, i parametri delle regole e il formato dei parametri, possono variare a seconda delle piattaforme utilizzate. Per questo motivo, ogni sezione di questa pagina indica le piattaforme a cui si applicano le impostazioni. Assicurati che le impostazioni che utilizzi siano supportate per le tue piattaforme.

Prima di iniziare

1. Abilita Autorizzazione binaria.

2. Abilita Autorizzazione binaria per la tua piattaforma:

   • Utenti di Google Kubernetes Engine (GKE): crea un cluster con Autorizzazione binaria abilitata.

   • Utenti Cloud Run: abilita Autorizzazione binaria sul servizio.

3. Se intendi utilizzare gli attestations, ti consigliamo di creare attacchi prima di configurare il criterio. Puoi creare attestatori utilizzando la console Google Cloud o uno strumento a riga di comando.

4. Seleziona l'ID per il progetto in cui hai abilitato Autorizzazione binaria.

Impostare la regola predefinita

Questa sezione riguarda GKE, cluster GKE, Cloud Run e Cloud Service Mesh.

Una regola è la parte di un criterio che definisce i vincoli che le immagini devono soddisfare prima di poterne eseguire il deployment. La regola predefinita definisce i vincoli che si applicano a tutte le immagini container non esenti che non hanno regole specifiche per il cluster. Ogni criterio ha una regola predefinita.

Per impostare la regola predefinita:

1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

   Vai alla pagina Autorizzazione binaria

2. Fai clic sulla scheda Norme.

3. Fai clic su Modifica criterio.

4. Imposta la modalità di valutazione per la regola predefinita.

   La modalità di valutazione specifica il tipo di vincolo applicato da Autorizzazione binaria al momento del deployment. Per impostare la modalità di valutazione, seleziona una delle seguenti opzioni:

   • Consenti tutte le immagini: consente il deployment di tutte le immagini.
   • Nega tutte le immagini: non consente il deployment di tutte le immagini.
   • Consenti solo le immagini approvate dai seguenti attestatori: consente il deployment di un'immagine se ha una o più attestazioni che possono essere verificate da tutti gli attestatori aggiunti a questa regola. Per ulteriori informazioni sulla creazione di attestatori, consulta Creazione di attestatori.

   Se hai selezionato Consenti solo le immagini approvate dai seguenti presentatori:

   1. Ottieni il nome o l'ID risorsa dell'attestatore.

      Nella pagina Attestatori della console Google Cloud puoi visualizzare gli attestatori esistenti o crearne uno nuovo.

      Vai alla pagina degli attestatori di autorizzazione binaria

   2. Fai clic su Aggiungi attestatori.

   3. Seleziona una delle seguenti opzioni:

      • Aggiungi per nome progetto e attestatore

        Il progetto fa riferimento all'ID del progetto in cui sono archiviati gli attestatori. Un esempio di nome di attestatore è build-qa.

      • Aggiungi per ID risorsa attestatore

        Un ID risorsa ha il formato:

        projects/PROJECT_ID/attestors/ATTESTOR_NAME
        

   4. In Attestatori, inserisci i valori appropriati per l'opzione selezionata.

   5. Fai clic su Aggiungi un altro attestatore se vuoi aggiungere altri attestatori.

   6. Fai clic su Aggiungi attestatori per salvare la regola.

Nota: non è consigliabile utilizzare la modalità di valutazione Consenti tutto nella regola predefinita. In questo modo è possibile eseguire il deployment di tutte le immagini container, a meno che non soddisfino una regola specifica del cluster o un'altra regola specifica del criterio.

Se vuoi attivare la modalità dry run:

1. Seleziona Modalità dry run.

2. Fai clic su Save Policy (Salva criterio).

Nota: l'applicazione del criterio può richiedere alcuni minuti.

Imposta regole specifiche per il cluster (facoltativo)

Questa sezione riguarda GKE, cluster GKE e Cloud Service Mesh.

Un criterio può anche avere una o più regole specifiche del cluster. Questo tipo di regola si applica alle immagini container di cui deve essere eseguito il deployment solo in cluster Google Kubernetes Engine (GKE) specifici. Le regole specifiche per i cluster sono una parte facoltativa di un criterio.

Aggiungi una regola specifica per il cluster (GKE)

Questa sezione riguarda i cluster GKE e GKE.

Per aggiungere una regola specifica per un cluster GKE, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

   Vai alla pagina Autorizzazione binaria

2. Fai clic sulla scheda Norme.

3. Fai clic su Modifica criterio.

4. Espandi la sezione Impostazioni aggiuntive per i deployment GKE e GKE Enterprise.

5. Se non è impostato alcun tipo di regola specifica, fai clic su Crea regole specifiche.

   1. Per selezionare il tipo di regola, fai clic su Tipo di regola specifica.

   2. Per modificare il tipo di regola, fai clic su Cambia.

6. Fai clic su Aggiungi regola specifica.

7. Nel campo ID risorsa cluster, inserisci l'ID risorsa per il cluster.

   L'ID risorsa per il cluster ha il formato LOCATION.NAME, ad esempio us-central1-a.test-cluster.

8. Imposta la modalità di valutazione per la regola predefinita.

   La modalità di valutazione specifica il tipo di vincolo applicato da Autorizzazione binaria al momento del deployment. Per impostare la modalità di valutazione, seleziona una delle seguenti opzioni:

   • Consenti tutte le immagini: consente il deployment di tutte le immagini.
   • Nega tutte le immagini: non consente il deployment di tutte le immagini.
   • Consenti solo le immagini approvate dai seguenti attestatori: consente il deployment di un'immagine se ha una o più attestazioni che possono essere verificate da tutti gli attestatori aggiunti a questa regola. Per ulteriori informazioni sulla creazione di attestatori, consulta Creazione di attestatori.

   Se hai selezionato Consenti solo le immagini approvate dai seguenti presentatori:

   1. Ottieni il nome o l'ID risorsa dell'attestatore.

      Nella pagina Attestatori della console Google Cloud puoi visualizzare gli attestatori esistenti o crearne uno nuovo.

      Vai alla pagina degli attestatori di autorizzazione binaria

   2. Fai clic su Aggiungi attestatori.

   3. Seleziona una delle seguenti opzioni:

      • Aggiungi per nome progetto e attestatore

        Il progetto fa riferimento all'ID del progetto in cui sono archiviati gli attestatori. Un esempio di nome di attestatore è build-qa.

      • Aggiungi per ID risorsa attestatore

        Un ID risorsa ha il formato:

        projects/PROJECT_ID/attestors/ATTESTOR_NAME
        

   4. In Attestatori, inserisci i valori appropriati per l'opzione selezionata.

   5. Fai clic su Aggiungi un altro attestatore se vuoi aggiungere altri attestatori.

   6. Fai clic su Aggiungi attestatori per salvare la regola.

9. Fai clic su Aggiungi per aggiungere la regola specifica per il cluster.

   Potresti visualizzare il messaggio "Sembra che questo cluster non esista. Questa regola avrà comunque effetto se il cluster diventerà disponibile in GKE in futuro." In questo caso, fai di nuovo clic su Aggiungi per salvare la regola.

10. Se vuoi abilitare la modalità dry run, seleziona Modalità dry run.

11. Fai clic su Save Policy (Salva criterio).

Nota: l'applicazione del criterio può richiedere alcuni minuti.

Aggiungi una regola specifica per il cluster (cluster GKE)

Anteprima

Questo prodotto o funzionalità è soggetto ai "Termini delle Offerte pre-GA" nella sezione Termini generali del servizio dei Termini specifici del servizio. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per saperne di più, consulta le descrizioni della fase di lancio.

Questa sezione riguarda i cluster GKE.

Per aggiungere una regola specifica per un cluster GKE, segui questi passaggi:

1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

   Vai alla pagina Autorizzazione binaria

2. Fai clic sulla scheda Norme.

3. Fai clic su Modifica criterio.

4. Espandi la sezione Impostazioni aggiuntive per i deployment GKE e GKE Enterprise.

5. Se non è impostato alcun tipo di regola specifica, fai clic su Crea regole specifiche.

   1. Per selezionare il tipo di regola, fai clic su Tipo di regola specifica.

   2. Per aggiornare il tipo di regola, fai clic su Modifica.

6. Fai clic su Aggiungi regola specifica.

7. Nel campo ID risorsa cluster, inserisci l'ID risorsa per il cluster.

   • Per i cluster collegati a GKE e GKE su AWS, il formato è CLUSTER_LOCATION.CLUSTER_NAME, ad esempio us-central1-a.test-cluster.
   • Per GKE on Bare Metal e GKE on VMware, il formato è FLEET_MEMBERSHIP_LOCATION.FLEET_MEMBERSHIP_ID, ad esempio global.test-membership.

8. Imposta la modalità di valutazione per la regola predefinita.

   La modalità di valutazione specifica il tipo di vincolo applicato da Autorizzazione binaria al momento del deployment. Per impostare la modalità di valutazione, seleziona una delle seguenti opzioni:

   • Consenti tutte le immagini: consente il deployment di tutte le immagini.
   • Nega tutte le immagini: non consente il deployment di tutte le immagini.
   • Consenti solo le immagini approvate dai seguenti attestatori: consente il deployment di un'immagine se ha una o più attestazioni che possono essere verificate da tutti gli attestatori aggiunti a questa regola. Per ulteriori informazioni sulla creazione di attestatori, consulta Creazione di attestatori.

   Se hai selezionato Consenti solo le immagini approvate dai seguenti presentatori:

   1. Ottieni il nome o l'ID risorsa dell'attestatore.

      Nella pagina Attestatori della console Google Cloud puoi visualizzare gli attestatori esistenti o crearne uno nuovo.

      Vai alla pagina degli attestatori di autorizzazione binaria

   2. Fai clic su Aggiungi attestatori.

   3. Seleziona una delle seguenti opzioni:

      • Aggiungi per nome progetto e attestatore

        Il progetto fa riferimento all'ID del progetto in cui sono archiviati gli attestatori. Un esempio di nome di attestatore è build-qa.

      • Aggiungi per ID risorsa attestatore

        Un ID risorsa ha il formato:

        projects/PROJECT_ID/attestors/ATTESTOR_NAME
        

   4. In Attestatori, inserisci i valori appropriati per l'opzione selezionata.

   5. Fai clic su Aggiungi un altro attestatore se vuoi aggiungere altri attestatori.

   6. Fai clic su Aggiungi attestatori per salvare la regola.

9. Fai clic su Aggiungi per salvare la regola.

   Potresti visualizzare il messaggio "Sembra che questo cluster non esista. Questa regola ha comunque effetto se il cluster specificato diventa disponibile in GKE in futuro. In questo caso, fai di nuovo clic su Aggiungi per salvare la regola.

10. Se vuoi abilitare la modalità dry run, seleziona Modalità dry run.

11. Fai clic su Save Policy (Salva criterio).

Nota: l'applicazione del criterio può richiedere alcuni minuti.

Aggiungi regole specifiche

Nota: questa funzionalità può essere abilitata solo sui cluster in esecuzione sulle seguenti release di GKE:

• 1.18.12-gke.700+
• 1.19.4-gke.700+
• 1.20.0-gke.600+
• 1,21+

Puoi creare regole basate su un'identità di servizio mesh, un account di servizio Kubernetes o uno spazio dei nomi Kubernetes. Puoi aggiungere o modificare una regola specifica come segue:

1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

   Vai alla pagina Autorizzazione binaria

2. Fai clic sulla scheda Norme.

3. Fai clic su Modifica criterio.

4. Espandi la sezione Impostazioni aggiuntive per i deployment GKE e Anthos.

5. Se non è impostato alcun tipo di regola specifica, fai clic su Crea regole specifiche.

   1. Fai clic su Tipo di regola specifica per selezionare il tipo di regola.

   2. Fai clic su Modifica per aggiornare il tipo di regola.

6. Se il tipo di regola specifico esiste, puoi modificare il tipo di regola facendo clic su Modifica tipo.

   Nota: puoi impostare un tipo di regola specifica per criterio. Se il tipo di regola viene modificato, le regole create per il tipo originale verranno eliminate al momento del salvataggio della pagina dei criteri.

7. Per aggiungere una regola specifica, fai clic su Aggiungi regola specifica. A seconda del tipo di regola scelto, inserisci un ID come segue:

   • Identità del servizio ASM: inserisci l'identità del servizio ASM, che ha il formato seguente: PROJECT_ID.svc.id.goog/ns/NAMESPACE/sa/SERVICE_ACCOUNT
   • Account di servizio Kubernetes: inserisci l'account di servizio Kubernetes, che ha il seguente formato: NAMESPACE:SERVICE_ACCOUNT.
   • Spazio dei nomi Kubernetes: inserisci lo spazio dei nomi Kubernetes, che ha il seguente formato: NAMESPACE

   Sostituisci quanto segue, come richiesto, a seconda del tipo di regola:

   • PROJECT_ID: l'ID progetto in cui definisci le risorse Kubernetes.
   • NAMESPACE: lo spazio dei nomi Kubernetes.
   • SERVICE_ACCOUNT: l'account di servizio.

8. Imposta la modalità di valutazione per la regola predefinita.

   La modalità di valutazione specifica il tipo di vincolo applicato da Autorizzazione binaria al momento del deployment. Per impostare la modalità di valutazione, seleziona una delle seguenti opzioni:

   • Consenti tutte le immagini: consente il deployment di tutte le immagini.
   • Nega tutte le immagini: non consente il deployment di tutte le immagini.
   • Consenti solo le immagini approvate dai seguenti attestatori: consente il deployment di un'immagine se ha una o più attestazioni che possono essere verificate da tutti gli attestatori aggiunti a questa regola. Per ulteriori informazioni sulla creazione di attestatori, consulta Creazione di attestatori.

   Se hai selezionato Consenti solo le immagini approvate dai seguenti presentatori:

   1. Ottieni il nome o l'ID risorsa dell'attestatore.

      Nella pagina Attestatori della console Google Cloud puoi visualizzare gli attestatori esistenti o crearne uno nuovo.

      Vai alla pagina degli attestatori di autorizzazione binaria

   2. Fai clic su Aggiungi attestatori.

   3. Seleziona una delle seguenti opzioni:

      • Aggiungi per nome progetto e attestatore

        Il progetto fa riferimento all'ID del progetto in cui sono archiviati gli attestatori. Un esempio di nome di attestatore è build-qa.

      • Aggiungi per ID risorsa attestatore

        Un ID risorsa ha il formato:

        projects/PROJECT_ID/attestors/ATTESTOR_NAME
        

   4. In Attestatori, inserisci i valori appropriati per l'opzione selezionata.

   5. Fai clic su Aggiungi un altro attestatore se vuoi aggiungere altri attestatori.

   6. Fai clic su Aggiungi attestatori per salvare la regola.

9. Fai clic su Modalità dry run per attivare la modalità dry run.

10. Fai clic su Aggiungi per salvare la regola specifica.

11. Fai clic su Save Policy (Salva criterio).

Nota: l'applicazione del criterio può richiedere alcuni minuti.

Gestisci immagini esenti

Questa sezione riguarda GKE, cluster GKE, Cloud Run e Cloud Service Mesh.

Un'immagine esente è un'immagine, specificata da un percorso, esente dalle regole dei criteri. Autorizzazione binaria consente sempre il deployment di immagini esenti.

Questo percorso può specificare una località in Container Registry o in un altro registro di immagini container.

Cloud Run

Questa sezione riguarda Cloud Run.

Non puoi specificare direttamente i nomi delle immagini che contengono un tag. Ad esempio, non puoi specificare IMAGE_PATH:latest.

Se vuoi indicare nomi immagine che contengono tag, devi specificare il nome utilizzando un carattere jolly, come segue:

• * per tutte le versioni di una singola immagine, ad esempio us-docker.pkg.dev/myproject/container/hello@*
• ** per tutte le immagini in un progetto; ad esempio, us-docker.pkg.dev/myproject/**

Puoi utilizzare i nomi dei percorsi per specificare un digest nel formato IMAGE_PATH@DIGEST.

Attiva il criterio di sistema

Questa sezione riguarda i cluster GKE e GKE.

Attendi che tutte le immagini di sistema fornite da Google siano un'impostazione dei criteri che attiva il criterio del sistema di Autorizzazione binaria. Se questa impostazione viene abilitata in fase di deployment, Autorizzazione binaria esclude un elenco di immagini di sistema gestite da Google e richieste da GKE da un'ulteriore valutazione dei criteri. Il criterio di sistema viene valutato prima di qualsiasi altra impostazione dei criteri.

Nota: ti consigliamo di selezionare Trust all Google-provided system images. In questo modo, Google può gestire la lista consentita delle immagini di sistema utilizzate da GKE. Google aggiorna questa lista consentita a ogni release di GKE. Se non abiliti l'impostazione, devi gestire autonomamente la lista consentita.

Per attivare il criterio di sistema:

1. Vai alla pagina Autorizzazione binaria nella console Google Cloud.

   Vai ad Autorizzazione binaria

2. Fai clic su Modifica criterio.

3. Espandi la sezione Impostazioni aggiuntive per i deployment GKE e Anthos.

4. Seleziona Considera attendibili tutte le immagini di sistema fornite da Google nella sezione Esenzione delle immagini di sistema di Google.

   Per visualizzare le immagini esenti dal criterio di sistema, fai clic su Visualizza dettagli.

   Nota: le informazioni sui criteri di sistema potrebbero differire temporaneamente da una regione all'altra mentre Google aggiorna la lista consentita. L'elenco di immagini visualizzato fa parte dell'ultimo gruppo di regioni che è stato aggiornato. Poiché la maggior parte delle modifiche al criterio di sistema sono aggiunte, l'elenco mostra l'insieme di immagini di sistema attualmente consentite in tutte le regioni. Puoi visualizzare il criterio di sistema per una regione specifica utilizzando un comando gcloud.

5. Per specificare manualmente immagini esenti aggiuntive, espandi la sezione Regole di esenzione personalizzate in Immagini esenti da questo criterio.

   Quindi, fai clic su Aggiungi pattern immagine e inserisci il percorso del Registro di sistema per qualsiasi immagine aggiuntiva da escludere.

6. Fai clic su Save Policy (Salva criterio).

Nota: l'applicazione del criterio può richiedere alcuni minuti.

Passaggi successivi

• Utilizza l'attestatore built-by-cloud-build per eseguire il deployment solo delle immagini create da Cloud Build (anteprima).
• Utilizza le attestazioni.
• Esegui il deployment di un'immagine GKE.
• Visualizzare gli eventi di Cloud Audit Logs.
• Utilizza la convalida continua.
• Utilizza la convalida continua legacy (deprecata) per verificare la conformità alle norme.