Crea un cluster

Questa pagina spiega come creare un cluster in Google Kubernetes Engine (GKE) con Autorizzazione binaria abilitata. Esegui questo passaggio dalla riga di comando utilizzando i comandi gcloud o nella console Google Cloud . Questo passaggio fa parte della configurazione di Autorizzazione binaria per GKE.

Prima di iniziare

• Attiva Autorizzazione binaria.

• Enable the GKE API.

  Enable the API

• Configura un criterio della piattaforma utilizzando la Google Cloud console, lo strumento a riga di comando o l'API REST.

Crea un cluster con Autorizzazione binaria abilitata (solo monitoraggio delle vulnerabilità comuni)

Autorizzazione binaria funziona con i cluster Autopilot o Standard. Per configurare la modalità di valutazione solo monitoraggio, devi specificare almeno un criterio della piattaforma basato su controlli.

Per creare un cluster con Autorizzazione binaria abilitata solo con il monitoraggio delle vulnerabilità comuni, procedi nel seguente modo:

Console

I seguenti passaggi configurano un cluster standard.

1. Nella console Google Cloud , vai alla pagina GKE.

   Vai a GKE

2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritto in Creazione di un cluster zonale.

3. Nel menu di navigazione, fai clic su Sicurezza.

4. Seleziona Attiva Autorizzazione binaria. 1. Seleziona Solo controllo e configura i criteri della piattaforma basati sul controllo CV rispetto ai quali vuoi che Autorizzazione binaria valuti le immagini del tuo cluster.

5. Fai clic su Crea.

gcloud

1. Imposta il progetto Google Cloud predefinito:

   gcloud config set project PROJECT_ID
   

   Sostituisci PROJECT_ID con l'ID del progetto in cui vuoi creare il cluster.

2. Crea un cluster che utilizza solo il monitoraggio basato sui criteri della piattaforma CV:

   Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

   • CLUSTER_NAME: un nome del cluster.
   • LOCATION: la posizione, ad esempio us-central1 o asia-south1.
   • POLICY_PROJECT_ID: l'ID del progetto in cui è archiviata la policy.
   • POLICY_ID: l'ID policy.
   • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

   Esegui questo comando:

   Linux, macOS o Cloud Shell

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME \
       --location=LOCATION \
       --binauthz-evaluation-mode=POLICY_BINDINGS \
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
       --project=CLUSTER_PROJECT_ID

   Windows (PowerShell)

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME `
       --location=LOCATION `
       --binauthz-evaluation-mode=POLICY_BINDINGS `
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
       --project=CLUSTER_PROJECT_ID

   Windows (cmd.exe)

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME ^
       --location=LOCATION ^
       --binauthz-evaluation-mode=POLICY_BINDINGS ^
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
       --project=CLUSTER_PROJECT_ID

Importante: la procedura di creazione del cluster non verifica la validità o l'esistenza delle norme della piattaforma fornite. La validità delle norme della piattaforma viene controllata solo durante i cicli di monitoraggio periodici. Presta particolare attenzione per assicurarti che le norme della piattaforma esistano, siano formattate correttamente e non contengano errori tipografici prima della creazione del cluster.

La creazione del cluster può richiedere alcuni minuti.

Crea un cluster con Autorizzazione binaria abilitata (solo applicazione)

Autorizzazione binaria funziona con i cluster Autopilot o Standard. Il criterio di applicazione è impostato sul criterio del progetto che per impostazione predefinita consente tutte le immagini. Per modificare la policy del progetto, segui queste istruzioni.

Per creare un cluster con Autorizzazione binaria abilitata solo con l'applicazione abilitata, fai quanto segue:

Console

I seguenti passaggi configurano un cluster standard.

1. Nella console Google Cloud , vai alla pagina GKE.

   Vai a GKE

2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritto in Creazione di un cluster zonale.

3. Nel menu di navigazione, fai clic su Sicurezza.

4. Seleziona Attiva Autorizzazione binaria.

5. Seleziona Solo applicazione forzata.

6. Fai clic su Crea.

gcloud

1. Imposta il progetto Google Cloud predefinito:

   gcloud config set project PROJECT_ID
   

   Sostituisci PROJECT_ID con l'ID del progetto in cui vuoi creare il cluster.

2. Crea un cluster che utilizza solo l'applicazione delle norme:

   Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

   • CLUSTER_NAME: un nome del cluster.
   • LOCATION: la posizione, ad esempio us-central1 o asia-south1.
   • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

   Esegui questo comando:

   Linux, macOS o Cloud Shell

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME \
       --location=LOCATION \
       --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \
       --project=CLUSTER_PROJECT_ID

   Windows (PowerShell)

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME `
       --location=LOCATION `
       --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE `
       --project=CLUSTER_PROJECT_ID

   Windows (cmd.exe)

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME ^
       --location=LOCATION ^
       --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE ^
       --project=CLUSTER_PROJECT_ID

Terraform

Il seguente esempio Terraform crea e configura un cluster Standard:

resource "google_container_cluster" "default" {
  name               = "gke-standard-regional-binauthz-enforce"
  location           = "us-west1"
  initial_node_count = 1

  binary_authorization {
    evaluation_mode = "PROJECT_SINGLETON_POLICY_ENFORCE"
  }
}

Per scoprire di più sull'utilizzo di Terraform, consulta Supporto di Terraform per GKE.

La creazione del cluster può richiedere alcuni minuti.

Crea un cluster con Autorizzazione binaria abilitata (monitoraggio e applicazione di CV)

Autorizzazione binaria funziona con i cluster Autopilot o Standard.

Ai fini dell'applicazione, il criterio è impostato sul criterio del progetto che per impostazione predefinita consente tutte le immagini. Per modificare la policy del progetto, segui queste istruzioni.

Per il monitoraggio del CV, devi specificare almeno un'norma della piattaforma basata sul controllo del CV.

Per creare un cluster con Autorizzazione binaria abilitata con monitoraggio e applicazione di CV, segui questi passaggi:

Console

I seguenti passaggi configurano un cluster standard.

1. Nella console Google Cloud , vai alla pagina GKE.

   Vai a GKE

2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritto in Creazione di un cluster zonale.

3. Nel menu di navigazione, fai clic su Sicurezza.

4. Seleziona Attiva Autorizzazione binaria.

5. Seleziona Controlla e applica e configura le policy della piattaforma basate sul controllo del curriculum.

6. Fai clic su Crea.

gcloud

1. Imposta il progetto Google Cloud predefinito:

   gcloud config set project PROJECT_ID
   

   Sostituisci PROJECT_ID con l'ID del progetto in cui vuoi creare il cluster.

2. Crea un cluster che utilizzi sia l'applicazione dei criteri project-singleton sia il monitoraggio basato sui criteri della piattaforma CV:

   Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

   • CLUSTER_NAME: un nome del cluster.
   • LOCATION: la posizione, ad esempio us-central1 o asia-south1.
   • POLICY_PROJECT_ID: l'ID del progetto in cui è archiviata la policy.
   • POLICY_ID: l'ID policy.
   • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

   Esegui questo comando:

   Linux, macOS o Cloud Shell

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME \
       --location=LOCATION \
       --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE \
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
       --project=CLUSTER_PROJECT_ID

   Windows (PowerShell)

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME `
       --location=LOCATION `
       --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE `
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
       --project=CLUSTER_PROJECT_ID

   Windows (cmd.exe)

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME ^
       --location=LOCATION ^
       --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ^
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
       --project=CLUSTER_PROJECT_ID

Importante: la procedura di creazione del cluster non verifica la validità o l'esistenza delle norme della piattaforma fornite. La validità delle norme della piattaforma viene verificata solo durante i cicli periodici di monitoraggio del CV. Presta particolare attenzione per assicurarti che le norme della piattaforma esistano, siano formattate correttamente e non presentino errori tipografici prima della creazione del cluster.

La creazione del cluster può richiedere alcuni minuti.

Crea un cluster CV che utilizza più norme della piattaforma (solo monitoraggio CV)

Autorizzazione binaria funziona con i cluster Autopilot o Standard.

Puoi creare cluster a cui sono associati più criteri della piattaforma (per maggiori informazioni, consulta la Guida di riferimento dell'API GKE).

Console

I seguenti passaggi configurano un cluster standard.

1. Nella console Google Cloud , vai alla pagina GKE.

   Vai a GKE

2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritto in Creazione di un cluster zonale.

3. Nel menu di navigazione, fai clic su Sicurezza.

4. Seleziona Attiva Autorizzazione binaria.

5. Seleziona Solo controllo e configura uno o più criteri della piattaforma in base ai quali vuoi che Autorizzazione binaria valuti il tuo cluster.

6. Fai clic su Crea.

gcloud

1. Imposta il progetto Google Cloud predefinito:

   gcloud config set project PROJECT_ID
   

2. Crea il cluster.

   Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

   • CLUSTER_NAME: un nome del cluster.
   • LOCATION: la località, ad esempio us-central1 o asia-south1.
   • POLICY_PROJECT_ID_1: l'ID del progetto in cui è archiviata la prima policy della piattaforma.
   • POLICY_ID_1: l'ID policy della prima norma della piattaforma.
   • POLICY_PROJECT_ID_2: l'ID del progetto in cui è archiviata la seconda policy della piattaforma. È possibile archiviare più criteri nello stesso progetto o in progetti diversi.
   • POLICY_ID_2: l'ID policy della seconda policy della piattaforma.
   • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

   Esegui questo comando:

   Linux, macOS o Cloud Shell

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME \
       --location=LOCATION \
       --binauthz-evaluation-mode=POLICY_BINDINGS \
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 \
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 \
       --project=CLUSTER_PROJECT_ID

   Windows (PowerShell)

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME `
       --location=LOCATION `
       --binauthz-evaluation-mode=POLICY_BINDINGS `
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 `
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 `
       --project=CLUSTER_PROJECT_ID

   Windows (cmd.exe)

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME ^
       --location=LOCATION ^
       --binauthz-evaluation-mode=POLICY_BINDINGS ^
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 ^
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 ^
       --project=CLUSTER_PROJECT_ID

Importante: la procedura di creazione del cluster non verifica la validità o l'esistenza delle norme della piattaforma fornite. La validità delle norme della piattaforma viene verificata solo durante i cicli periodici di monitoraggio del CV. Presta particolare attenzione per assicurarti che le norme della piattaforma esistano, siano formattate correttamente e non presentino errori tipografici prima della creazione del cluster.

La creazione del cluster può richiedere alcuni minuti.

Crea un cluster CV che utilizza più policy della piattaforma (monitoraggio e applicazione CV)

Autorizzazione binaria funziona con i cluster Autopilot o Standard.

Puoi creare cluster a cui sono associati più criteri della piattaforma (per maggiori informazioni, consulta la Guida di riferimento dell'API GKE).

Console

I seguenti passaggi configurano un cluster standard.

1. Nella console Google Cloud , vai alla pagina GKE.

   Vai a GKE

2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritto in Creazione di un cluster zonale.

3. Nel menu di navigazione, fai clic su Sicurezza.

4. Seleziona Attiva Autorizzazione binaria.

5. Seleziona Audit and Enforce (Controlla e applica) e configura i criteri di monitoraggio delle vulnerabilità e delle esposizioni comuni.

6. Fai clic su Crea.

gcloud

1. Imposta il progetto Google Cloud predefinito:

   gcloud config set project PROJECT_ID
   

2. Crea un cluster che utilizzi sia l'applicazione dei criteri project-singleton sia il monitoraggio basato sui criteri della piattaforma CV:

   Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

   • CLUSTER_NAME: un nome del cluster.
   • LOCATION: la località, ad esempio us-central1 o asia-south1.
   • POLICY_PROJECT_ID_1: l'ID del progetto in cui è archiviata la prima policy della piattaforma.
   • POLICY_ID_1: l'ID policy della prima norma della piattaforma.
   • POLICY_PROJECT_ID_2: l'ID del progetto in cui è archiviata la seconda policy della piattaforma. È possibile archiviare più criteri nello stesso progetto o in progetti diversi.
   • POLICY_ID_2: l'ID policy della seconda policy della piattaforma.
   • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

   Esegui questo comando:

   Linux, macOS o Cloud Shell

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME \
       --location=LOCATION \
       --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE \
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 \
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 \
       --project=CLUSTER_PROJECT_ID

   Windows (PowerShell)

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME `
       --location=LOCATION `
       --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE `
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 `
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 `
       --project=CLUSTER_PROJECT_ID

   Windows (cmd.exe)

   Nota:assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME ^
       --location=LOCATION ^
       --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ^
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 ^
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 ^
       --project=CLUSTER_PROJECT_ID

Importante: la procedura di creazione del cluster non verifica la validità o l'esistenza delle norme della piattaforma fornite. La validità delle norme della piattaforma viene verificata solo durante i cicli periodici di monitoraggio del CV. Presta particolare attenzione per assicurarti che le norme della piattaforma esistano, siano formattate correttamente e non presentino errori tipografici prima della creazione del cluster.

La creazione del cluster può richiedere alcuni minuti.

Verifica che l'autorizzazione binaria sia abilitata

Per verificare che l'autorizzazione binaria sia abilitata per il cluster:

Console

1. Apri la pagina GKE nella console Google Cloud .

   Vai a GKE

2. In Cluster Kubernetes, trova il tuo cluster.

3. In Sicurezza, verifica che l'opzione Autorizzazione binaria sia impostata su Attivata.

gcloud

Per elencare i binding dei criteri per il cluster:

gcloud beta container clusters describe CLUSTER_NAME --location LOCATION --project CLUSTER_PROJECT_ID | grep -A 10 policyBindings:

Tieni presente che potrebbero essere presenti ulteriori informazioni dopo l'elenco dell'associazione dei criteri.

Passaggi successivi

• Scopri di più sulla convalida continua di Autorizzazione binaria (anteprima).
• Scopri di più sull'applicazione forzata di Autorizzazione binaria.