Crea un cluster

Questa pagina spiega come creare un cluster in Google Kubernetes Engine (GKE) con Autorizzazione binaria abilitata. Esegui questo passaggio al comando utilizzando i comandi gcloud o nella console Google Cloud. Questo passaggio fa parte configurando Autorizzazione binaria per GKE.

Prima di iniziare

Crea un cluster con Autorizzazione binaria abilitata (solo monitoraggio di CV)

Autorizzazione binaria funziona con Autopilot o Standard cluster. Per configurare la modalità di valutazione solo monitoraggio, devi specificare almeno un criterio della piattaforma basato su controlli.

Per creare un cluster con Autorizzazione binaria abilitata con monitoraggio CV, segui questi passaggi:

Console

I passaggi seguenti per configurare un cluster Standard.

  1. Nella console Google Cloud, vai alla pagina GKE.

    Vai a GKE

  2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritti in Creazione di un cluster di zona.

  3. Nel menu di navigazione, fai clic su Sicurezza.

  4. Seleziona Abilita Autorizzazione binaria. 1. Seleziona Solo controllo e configura Criteri della piattaforma basata sui controlli di CV in base ai quali vuoi che Autorizzazione binaria valuti le immagini del tuo cluster.

  5. Fai clic su Crea.

gcloud

  1. Imposta il progetto Google Cloud predefinito:

    gcloud config set project PROJECT_ID

    Sostituisci PROJECT_ID con l'ID del progetto in cui vuoi creare il cluster.

  2. Crea un cluster che utilizza solo la piattaforma CV basata su criteri monitoraggio:

    Prima di utilizzare uno qualsiasi dei dati di comando riportati di seguito, effettua le seguenti sostituzioni:

    • CLUSTER_NAME: il nome di un cluster.
    • LOCATION: la località, ad esempio us-central1 o asia-south1.
    • POLICY_PROJECT_ID: l'ID del progetto in cui è archiviato il criterio.
    • POLICY_ID: l'ID del criterio.
    • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

    Esegui la persone che seguo :

    Linux, macOS o Cloud Shell

    gcloud beta container clusters create CLUSTER_NAME \
    --location=LOCATION \
    --binauthz-evaluation-mode=POLICY_BINDINGS \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
    --project=CLUSTER_PROJECT_ID

    Windows (PowerShell)

    gcloud beta container clusters create CLUSTER_NAME `
    --location=LOCATION `
    --binauthz-evaluation-mode=POLICY_BINDINGS `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
    --project=CLUSTER_PROJECT_ID

    Windows (cmd.exe)

    gcloud beta container clusters create CLUSTER_NAME ^
    --location=LOCATION ^
    --binauthz-evaluation-mode=POLICY_BINDINGS ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
    --project=CLUSTER_PROJECT_ID

La creazione del cluster può richiedere alcuni minuti.

Crea un cluster con Autorizzazione binaria abilitata (solo applicazione forzata)

Autorizzazione binaria funziona con Autopilot o Standard cluster. Il criterio di applicazione è impostato su criteri di progetto che per impostazione predefinita consente tutte le immagini. Per modificare il criterio del progetto: queste istruzioni.

Per creare un cluster con Autorizzazione binaria abilitata e solo applicazione forzata, procedi nel seguente modo:

Console

I passaggi seguenti per configurare un cluster Standard.

  1. Nella console Google Cloud, vai alla pagina GKE.

    Vai a GKE

  2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritti in Creazione di un cluster di zona.

  3. Nel menu di navigazione, fai clic su Sicurezza.

  4. Seleziona Abilita Autorizzazione binaria.

  5. Seleziona Solo applicazione forzata.

  6. Fai clic su Crea.

gcloud

  1. Imposta il progetto Google Cloud predefinito:

    gcloud config set project PROJECT_ID

    Sostituisci PROJECT_ID con l'ID del progetto in cui vuoi creare il cluster.

  2. Crea un cluster che utilizza solo l'applicazione forzata dei criteri:

    Prima di utilizzare uno qualsiasi dei dati di comando riportati di seguito, effettua le seguenti sostituzioni:

    • CLUSTER_NAME: il nome di un cluster.
    • LOCATION: la località, ad esempio us-central1 o asia-south1.
    • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

    Esegui la persone che seguo :

    Linux, macOS o Cloud Shell

    gcloud beta container clusters create CLUSTER_NAME \
    --location=LOCATION \
    --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \
    --project=CLUSTER_PROJECT_ID

    Windows (PowerShell)

    gcloud beta container clusters create CLUSTER_NAME `
    --location=LOCATION `
    --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE `
    --project=CLUSTER_PROJECT_ID

    Windows (cmd.exe)

    gcloud beta container clusters create CLUSTER_NAME ^
    --location=LOCATION ^
    --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE ^
    --project=CLUSTER_PROJECT_ID

La creazione del cluster può richiedere alcuni minuti.

Crea un cluster con Autorizzazione binaria abilitata (Monitoraggio e applicazione forzata di CV)

Autorizzazione binaria funziona con Autopilot o Standard cluster.

Per l'applicazione, il criterio viene impostato sul criteri di progetto che per impostazione predefinita consente tutte le immagini. Per modificare il criterio del progetto: queste istruzioni.

Per il monitoraggio CV, devi specificare almeno uno Criteri della piattaforma basata sui controlli di CV.

Per creare un cluster con Autorizzazione binaria abilitata con entrambi i CV monitoraggio e applicazione delle norme, segui questi passaggi:

Console

I passaggi seguenti per configurare un cluster Standard.

  1. Nella console Google Cloud, vai alla pagina GKE.

    Vai a GKE

  2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritti in Creazione di un cluster di zona.

  3. Nel menu di navigazione, fai clic su Sicurezza.

  4. Seleziona Abilita Autorizzazione binaria.

  5. Seleziona Controlla e applica e configura i criteri della piattaforma basati sui controlli di CV.

  6. Fai clic su Crea.

gcloud

  1. Imposta il progetto Google Cloud predefinito:

    gcloud config set project PROJECT_ID

    Sostituisci PROJECT_ID con l'ID del progetto in cui vuoi per creare il cluster.

  2. Crea un cluster che utilizza sia l'applicazione forzata dei criteri di singolo progetto sia Monitoraggio basato su criteri della piattaforma CV:

    Prima di utilizzare uno qualsiasi dei dati di comando riportati di seguito, effettua le seguenti sostituzioni:

    • CLUSTER_NAME: il nome di un cluster.
    • LOCATION: la località, ad esempio us-central1 o asia-south1.
    • POLICY_PROJECT_ID: l'ID del progetto in cui è archiviato il criterio.
    • POLICY_ID: l'ID del criterio.
    • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

    Esegui la persone che seguo :

    Linux, macOS o Cloud Shell

    gcloud beta container clusters create CLUSTER_NAME \
    --location=LOCATION \
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
    --project=CLUSTER_PROJECT_ID

    Windows (PowerShell)

    gcloud beta container clusters create CLUSTER_NAME `
    --location=LOCATION `
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
    --project=CLUSTER_PROJECT_ID

    Windows (cmd.exe)

    gcloud beta container clusters create CLUSTER_NAME ^
    --location=LOCATION ^
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
    --project=CLUSTER_PROJECT_ID

La creazione del cluster può richiedere alcuni minuti.

Crea un cluster di conversioni video che utilizza più criteri della piattaforma (solo monitoraggio di CV)

Autorizzazione binaria funziona con Autopilot o Standard cluster.

Puoi creare cluster a cui sono associati più criteri della piattaforma (vedi Riferimento API GKE per ulteriori informazioni).

Console

I passaggi seguenti per configurare un cluster Standard.

  1. Nella console Google Cloud, vai alla pagina GKE.

    Vai a GKE

  2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritti in Creazione di un cluster di zona.

  3. Nel menu di navigazione, fai clic su Sicurezza.

  4. Seleziona Abilita Autorizzazione binaria.

  5. Seleziona Solo controllo e configurare uno o più criteri della piattaforma Autorizzazione binaria per la valutazione del cluster.

  6. Fai clic su Crea.

gcloud

  1. Imposta il progetto Google Cloud predefinito:

    gcloud config set project PROJECT_ID

  2. Crea il cluster.

    Prima di utilizzare uno qualsiasi dei dati di comando riportati di seguito, effettua le seguenti sostituzioni:

    • CLUSTER_NAME: il nome di un cluster.
    • LOCATION: la località, ad esempio us-central1 o asia-south1.
    • POLICY_PROJECT_ID_1: l'ID del progetto in cui è archiviato il primo criterio della piattaforma.
    • POLICY_ID_1: l'ID criterio del primo criterio della piattaforma.
    • POLICY_PROJECT_ID_2: l'ID del progetto in cui è archiviato il secondo criterio della piattaforma. È possibile archiviare più criteri nello stesso progetto o in progetti diversi.
    • POLICY_ID_2: l'ID criterio del secondo criterio della piattaforma.
    • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

    Esegui la persone che seguo :

    Linux, macOS o Cloud Shell

    gcloud beta container clusters create CLUSTER_NAME \
    --location=LOCATION \
    --binauthz-evaluation-mode=POLICY_BINDINGS \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 \
    --project=CLUSTER_PROJECT_ID

    Windows (PowerShell)

    gcloud beta container clusters create CLUSTER_NAME `
    --location=LOCATION `
    --binauthz-evaluation-mode=POLICY_BINDINGS `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 `
    --project=CLUSTER_PROJECT_ID

    Windows (cmd.exe)

    gcloud beta container clusters create CLUSTER_NAME ^
    --location=LOCATION ^
    --binauthz-evaluation-mode=POLICY_BINDINGS ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 ^
    --project=CLUSTER_PROJECT_ID

La creazione del cluster può richiedere alcuni minuti.

Crea un cluster CV che utilizza più criteri della piattaforma (monitoraggio e applicazione forzata di CV)

Autorizzazione binaria funziona con Autopilot o Standard cluster.

Puoi creare cluster a cui sono associati più criteri della piattaforma (vedi Riferimento API GKE per ulteriori informazioni).

Console

I passaggi seguenti per configurare un cluster Standard.

  1. Nella console Google Cloud, vai alla pagina GKE.

    Vai a GKE

  2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritto in Creazione di un cluster di zona.

  3. Nel menu di navigazione, fai clic su Sicurezza.

  4. Seleziona Abilita Autorizzazione binaria.

  5. Seleziona Audit and Enforcer e configura il monitoraggio CV criteri.

  6. Fai clic su Crea.

gcloud

  1. Imposta il progetto Google Cloud predefinito:

    gcloud config set project PROJECT_ID

  2. Crea un cluster che utilizza sia l'applicazione forzata dei criteri di singolo progetto sia Monitoraggio basato su criteri della piattaforma CV:

    Prima di utilizzare uno qualsiasi dei dati di comando riportati di seguito, effettua le seguenti sostituzioni:

    • CLUSTER_NAME: il nome di un cluster.
    • LOCATION: la località, ad esempio us-central1 o asia-south1.
    • POLICY_PROJECT_ID_1: l'ID del progetto in cui è archiviato il primo criterio della piattaforma.
    • POLICY_ID_1: l'ID criterio del primo criterio della piattaforma.
    • POLICY_PROJECT_ID_2: l'ID del progetto in cui è archiviato il secondo criterio della piattaforma. È possibile archiviare più criteri nello stesso progetto o in progetti diversi.
    • POLICY_ID_2: l'ID criterio del secondo criterio della piattaforma.
    • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

    Esegui la persone che seguo :

    Linux, macOS o Cloud Shell

    gcloud beta container clusters create CLUSTER_NAME \
    --location=LOCATION \
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 \
    --project=CLUSTER_PROJECT_ID

    Windows (PowerShell)

    gcloud beta container clusters create CLUSTER_NAME `
    --location=LOCATION `
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 `
    --project=CLUSTER_PROJECT_ID

    Windows (cmd.exe)

    gcloud beta container clusters create CLUSTER_NAME ^
    --location=LOCATION ^
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 ^
    --project=CLUSTER_PROJECT_ID

La creazione del cluster può richiedere alcuni minuti.

Verifica che Autorizzazione binaria sia abilitata

Per verificare che Autorizzazione binaria sia abilitata per il cluster, segui questi passaggi:

Console

  1. Apri la pagina GKE nella console Google Cloud.

    Vai a GKE

  2. Individua il tuo cluster in Cluster Kubernetes.

  3. In Sicurezza, verifica che l'opzione Autorizzazione binaria sia impostata su Attivato.

gcloud

Per elencare le associazioni di criteri per il cluster, segui questi passaggi: 

gcloud beta container clusters describe CLUSTER_NAME --location LOCATION --project CLUSTER_PROJECT_ID | grep -A 10 policyBindings:

Tieni presente che potrebbero essere disponibili informazioni aggiuntive dopo l'associazione dei criteri dell'annuncio.

Passaggi successivi