Crea un cluster

Questa pagina spiega come creare un cluster in Google Kubernetes Engine (GKE) con Autorizzazione binaria abilitata. Esegui questo passaggio sulla riga di comando utilizzando i comandi gcloud o nella console Google Cloud. Questo passaggio fa parte configurando Autorizzazione binaria per GKE.

Prima di iniziare

• Abilita Autorizzazione binaria.

• Enable the GKE API.

  Enable the API

• Configura un criterio della piattaforma utilizzando Console Google Cloud, strumento a riga di comando, o API REST.

Crea un cluster con Autorizzazione binaria abilitata (solo monitoraggio CV)

Autorizzazione binaria funziona con Autopilot o Standard cluster. Per configurare la modalità di valutazione solo per il monitoraggio, devi specificare almeno un criterio della piattaforma basato su controllo.

Per creare un cluster con Autorizzazione binaria abilitata con monitoraggio CV, segui questi passaggi:

Console

I passaggi riportati di seguito configurano un cluster standard.

1. Nella console Google Cloud, vai alla pagina GKE.

   Vai a GKE

2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritti in Creazione di un cluster di zona.

3. Nel menu di navigazione, fai clic su Sicurezza.

4. Seleziona Attiva Autorizzazione binaria. 1. Seleziona Solo controllo e configura i criteri della piattaforma basati sul controllo CV in base ai quali vuoi che l'autorizzazione di codice binario valuti le immagini del tuo cluster.

5. Fai clic su Crea.

gcloud

1. Imposta il progetto Google Cloud predefinito:

   gcloud config set project PROJECT_ID
   

   Sostituisci PROJECT_ID con l'ID del progetto in cui vuoi creare il cluster.

2. Crea un cluster che utilizza solo la piattaforma CV basata su criteri monitoraggio:

   Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

   • CLUSTER_NAME: il nome di un cluster.
   • LOCATION: la posizione, ad esempio us-central1 o asia-south1.
   • POLICY_PROJECT_ID: l'ID del progetto in cui è archiviato il criterio.
   • POLICY_ID: l'ID criterio.
   • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

   Esegui la persone che seguo :

   Linux, macOS o Cloud Shell

   Nota: Assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME \
       --location=LOCATION \
       --binauthz-evaluation-mode=POLICY_BINDINGS \
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
       --project=CLUSTER_PROJECT_ID

   Windows (PowerShell)

   Nota: assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; oppure gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME `
       --location=LOCATION `
       --binauthz-evaluation-mode=POLICY_BINDINGS `
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
       --project=CLUSTER_PROJECT_ID

   Windows (cmd.exe)

   Nota: Assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME ^
       --location=LOCATION ^
       --binauthz-evaluation-mode=POLICY_BINDINGS ^
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
       --project=CLUSTER_PROJECT_ID

Importante: la procedura di creazione del cluster non controlla la validità o l'esistenza delle norme della piattaforma fornite. La validità delle norme della piattaforma viene verificata solo durante i cicli di monitoraggio periodici. Presta particolare attenzione ad assicurarti che le norme della piattaforma esistano, siano formattate correttamente e non contengano errori ortografici prima della creazione del cluster.

La creazione del cluster può richiedere alcuni minuti.

Creare un cluster con Autorizzazione binaria abilitata (solo applicazione)

Autorizzazione binaria funziona con Autopilot o Standard cluster. Il criterio di applicazione è impostato sul criterio del progetto che per impostazione predefinita consente tutte le immagini. Per modificare i criteri del progetto, segui queste istruzioni.

Per creare un cluster con l'Autorizzazione binaria abilitata e solo l'applicazione abilitata, segui questi passaggi:

Console

I passaggi riportati di seguito configurano un cluster standard.

1. Nella console Google Cloud, vai alla pagina GKE.

   Vai a GKE

2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritti in Creazione di un cluster di zona.

3. Nel menu di navigazione, fai clic su Sicurezza.

4. Seleziona Attiva Autorizzazione binaria.

5. Seleziona Solo applicazione forzata.

6. Fai clic su Crea.

gcloud

1. Imposta il progetto Google Cloud predefinito:

   gcloud config set project PROJECT_ID
   

   Sostituisci PROJECT_ID con l'ID del progetto in cui vuoi creare il cluster.

2. Crea un cluster che utilizza solo l'applicazione forzata dei criteri:

   Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

   • CLUSTER_NAME: il nome di un cluster.
   • LOCATION: la località, ad esempio us-central1 o asia-south1.
   • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

   Esegui la persone che seguo :

   Linux, macOS o Cloud Shell

   Nota: assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; oppure gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME \
       --location=LOCATION \
       --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \
       --project=CLUSTER_PROJECT_ID

   Windows (PowerShell)

   Nota: assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; oppure gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME `
       --location=LOCATION `
       --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE `
       --project=CLUSTER_PROJECT_ID

   Windows (cmd.exe)

   Nota: assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; oppure gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME ^
       --location=LOCATION ^
       --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE ^
       --project=CLUSTER_PROJECT_ID

Terraform

Il seguente esempio di Terraform crea e configura un cluster standard:

resource "google_container_cluster" "enforce" {
  name               = "gke-standard-regional-binauthz-enforce"
  location           = "us-west1"
  initial_node_count = 1

  binary_authorization {
    evaluation_mode = "PROJECT_SINGLETON_POLICY_ENFORCE"
  }

  # Set `deletion_protection` to `true` will ensure that one cannot
  # accidentally delete this instance by use of Terraform.
  deletion_protection = false
}

Per saperne di più sull'utilizzo di Terraform, consulta Supporto Terraform per GKE.

La creazione del cluster può richiedere alcuni minuti.

Crea un cluster con Autorizzazione binaria abilitata (Monitoraggio e applicazione forzata di CV)

L'autorizzazione binaria funziona con i cluster Autopilot o Standard.

Per l'applicazione, il criterio viene impostato sul criterio del progetto che per impostazione predefinita consente tutte le immagini. Per modificare il criterio del progetto: queste istruzioni.

Per il monitoraggio dei CV, devi specificare almeno un criterio della piattaforma basato sul controllo dei CV.

Per creare un cluster con l'Autorizzazione binaria abilitata sia per il monitoraggio sia per l'applicazione del CV, segui questi passaggi:

Console

I passaggi riportati di seguito configurano un cluster standard.

1. Nella console Google Cloud, vai alla pagina GKE.

   Vai a GKE

2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritti in Creazione di un cluster di zona.

3. Nel menu di navigazione, fai clic su Sicurezza.

4. Seleziona Abilita Autorizzazione binaria.

5. Seleziona Controlla e applica e configura i criteri della piattaforma basati sui controlli di CV.

6. Fai clic su Crea.

gcloud

1. Imposta il progetto Google Cloud predefinito:

   gcloud config set project PROJECT_ID
   

   Sostituisci PROJECT_ID con l'ID del progetto in cui vuoi creare il cluster.

2. Crea un cluster che utilizzi sia l'applicazione dei criteri project-singleton sia il monitoraggio basato su criteri della piattaforma CV:

   Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

   • CLUSTER_NAME: il nome di un cluster.
   • LOCATION: la posizione, ad esempio us-central1 o asia-south1.
   • POLICY_PROJECT_ID: l'ID del progetto in cui è archiviato il criterio.
   • POLICY_ID: l'ID criterio.
   • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

   Esegui la persone che seguo :

   Linux, macOS o Cloud Shell

   Nota: Assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME \
       --location=LOCATION \
       --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE \
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
       --project=CLUSTER_PROJECT_ID

   Windows (PowerShell)

   Nota: Assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME `
       --location=LOCATION `
       --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE `
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
       --project=CLUSTER_PROJECT_ID

   Windows (cmd.exe)

   Nota: assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; oppure gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME ^
       --location=LOCATION ^
       --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ^
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
       --project=CLUSTER_PROJECT_ID

Importante: la procedura di creazione del cluster non controlla la validità o l'esistenza delle norme della piattaforma fornite. La validità delle norme della piattaforma viene verificata solo durante i cicli periodici di monitoraggio del CV. Presta particolare attenzione nel garantire che esistano criteri della piattaforma, che siano formattati correttamente e che non siano errori tipografici prima della creazione del cluster.

La creazione del cluster può richiedere alcuni minuti.

Crea un cluster di CV che utilizza più criteri della piattaforma (solo monitoraggio dei CV)

Autorizzazione binaria funziona con Autopilot o Standard cluster.

Puoi creare cluster con più criteri della piattaforma associati (consulta la documentazione di riferimento dell'API GKE per ulteriori informazioni).

Console

I passaggi riportati di seguito configurano un cluster standard.

1. Nella console Google Cloud, vai alla pagina GKE.

   Vai a GKE

2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritto in Creare un cluster zonale.

3. Nel menu di navigazione, fai clic su Sicurezza.

4. Seleziona Attiva Autorizzazione binaria.

5. Seleziona Solo controllo e configura uno o più criteri della piattaforma in base ai quali vuoi che l'autorizzazione binaria valuti il tuo cluster.

6. Fai clic su Crea.

gcloud

1. Imposta il progetto Google Cloud predefinito:

   gcloud config set project PROJECT_ID
   

2. Crea il cluster.

   Prima di utilizzare uno qualsiasi dei dati di comando riportati di seguito, effettua le seguenti sostituzioni:

   • CLUSTER_NAME: un nome di cluster.
   • LOCATION: la località, ad esempio us-central1 o asia-south1.
   • POLICY_PROJECT_ID_1: l'ID del progetto in cui è archiviato il primo criterio della piattaforma.
   • POLICY_ID_1: l'ID del primo criterio della piattaforma.
   • POLICY_PROJECT_ID_2: l'ID del progetto in cui è archiviato il secondo criterio della piattaforma. È possibile memorizzare più criteri nello stesso progetto o in progetti diversi.
   • POLICY_ID_2: l'ID criterio del secondo criterio della piattaforma.
   • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

   Esegui la persone che seguo :

   Linux, macOS o Cloud Shell

   Nota: assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; oppure gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME \
       --location=LOCATION \
       --binauthz-evaluation-mode=POLICY_BINDINGS \
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 \
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 \
       --project=CLUSTER_PROJECT_ID

   Windows (PowerShell)

   Nota: Assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME `
       --location=LOCATION `
       --binauthz-evaluation-mode=POLICY_BINDINGS `
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 `
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 `
       --project=CLUSTER_PROJECT_ID

   Windows (cmd.exe)

   Nota: assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; oppure gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME ^
       --location=LOCATION ^
       --binauthz-evaluation-mode=POLICY_BINDINGS ^
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 ^
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 ^
       --project=CLUSTER_PROJECT_ID

Importante: la procedura di creazione del cluster non controlla la validità o l'esistenza delle norme della piattaforma fornite. La validità del criterio della piattaforma viene verificata solo durante cicli periodici di monitoraggio della variabilità della frequenza cardiaca. Presta particolare attenzione per assicurarti che i criteri della piattaforma esistano, siano formattati correttamente e non contengano errori ortografici prima della creazione del cluster.

La creazione del cluster può richiedere alcuni minuti.

Crea un cluster CV che utilizza più criteri della piattaforma (monitoraggio e applicazione forzata di CV)

Autorizzazione binaria funziona con Autopilot o Standard cluster.

Puoi creare cluster con più criteri della piattaforma associati (consulta la documentazione di riferimento dell'API GKE per ulteriori informazioni).

Console

I passaggi riportati di seguito configurano un cluster standard.

1. Nella console Google Cloud, vai alla pagina GKE.

   Vai a GKE

2. Fai clic su Crea cluster. Inserisci i valori per i campi predefiniti come descritto in Creazione di un cluster di zona.

3. Nel menu di navigazione, fai clic su Sicurezza.

4. Seleziona Abilita Autorizzazione binaria.

5. Seleziona Controlla e applica e configura i criteri di monitoraggio del CV.

6. Fai clic su Crea.

gcloud

1. Imposta il progetto Google Cloud predefinito:

   gcloud config set project PROJECT_ID
   

2. Crea un cluster che utilizza sia l'applicazione forzata dei criteri di singolo progetto sia Monitoraggio basato su criteri della piattaforma CV:

   Prima di utilizzare i dati dei comandi riportati di seguito, effettua le seguenti sostituzioni:

   • CLUSTER_NAME: un nome di cluster.
   • LOCATION: la località, ad esempio us-central1 o asia-south1.
   • POLICY_PROJECT_ID_1: l'ID del progetto in cui è archiviato il primo criterio della piattaforma.
   • POLICY_ID_1: l'ID del primo criterio della piattaforma.
   • POLICY_PROJECT_ID_2: l'ID del progetto in cui è archiviato il secondo criterio della piattaforma. È possibile memorizzare più criteri nello stesso progetto o in progetti diversi.
   • POLICY_ID_2: l'ID criterio del secondo criterio della piattaforma.
   • CLUSTER_PROJECT_ID: l'ID progetto del cluster.

   Esegui la persone che seguo :

   Linux, macOS o Cloud Shell

   Nota: assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; oppure gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME \
       --location=LOCATION \
       --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE \
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 \
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 \
       --project=CLUSTER_PROJECT_ID

   Windows (PowerShell)

   Nota: assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; oppure gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME `
       --location=LOCATION `
       --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE `
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 `
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 `
       --project=CLUSTER_PROJECT_ID

   Windows (cmd.exe)

   Nota: Assicurati di aver inizializzato Google Cloud CLI con l'autenticazione e un progetto eseguendo gcloud init; o gcloud auth login e gcloud config set project.

   gcloud beta container clusters create CLUSTER_NAME ^
       --location=LOCATION ^
       --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ^
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_1/platforms/gke/policies/POLICY_ID_1 ^
       --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID_2/platforms/gke/policies/POLICY_ID_2 ^
       --project=CLUSTER_PROJECT_ID

Importante: Il processo di creazione del cluster non controlla la validità o l'esistenza del i criteri relativi alla piattaforma forniti. La validità del criterio della piattaforma viene verificata solo durante cicli periodici di monitoraggio della variabilità della frequenza cardiaca. Presta particolare attenzione nel garantire che esistano criteri della piattaforma, che siano formattati correttamente e che non siano errori tipografici prima della creazione del cluster.

La creazione del cluster può richiedere alcuni minuti.

Verifica che Autorizzazione binaria sia abilitata

Per verificare che l'autorizzazione binaria sia abilitata per il cluster:

Console

1. Apri la pagina GKE nella console Google Cloud.

   Vai a GKE

2. Individua il tuo cluster in Cluster Kubernetes.

3. In Sicurezza, verifica che Autorizzazione binaria sia impostata su Attivata.

gcloud

Per elencare le associazioni dei criteri per il cluster:

gcloud beta container clusters describe CLUSTER_NAME --location LOCATION --project CLUSTER_PROJECT_ID | grep -A 10 policyBindings:

Tieni presente che potrebbero essere presenti ulteriori informazioni dopo l'elenco delle associazioni di norme.

Passaggi successivi

• Scopri di più sulla convalida continua di Autorizzazione binaria (anteprima).
• Scopri di più sull'applicazione forzata di Autorizzazione binaria.