Cette page explique comment créer un cluster dans Google Kubernetes Engine (GKE) avec l'autorisation binaire activée. Vous pouvez réaliser cette étape dans la ligne de commande grâce aux commandes gcloud
, ou bien dans Google Cloud Console. Cette étape fait partie de la configuration de l'autorisation binaire pour GKE.
Avant de commencer
Si ce n'est pas déjà fait, procédez comme suit :
Activer l'autorisation binaire.
-
Activez l'API GKE
Créer un cluster avec l'autorisation binaire activée
Pour créer un cluster avec l'autorisation binaire activée, procédez comme suit :
Console
Dans la console Google Cloud, accédez à la page GKE.
Cliquez sur Create Cluster (Créer le cluster). Renseignez les valeurs des champs par défaut, comme indiqué sur la page Créer un cluster zonal.
Dans le volet de navigation de gauche, cliquez sur Sécurité.
Sélectionnez Activer l'autorisation binaire.
Sélectionnez Application uniquement.
Cliquez sur Créer.
gcloud
Définissez votre projet Google Cloud par défaut en exécutant la commande suivante :
gcloud config set project PROJECT_ID
Remplacez PROJECT_ID par l'ID du projet dans lequel vous souhaitez créer le cluster.
Créez le cluster.
Saisissez la commande suivante :
gcloud container clusters create CLUSTER_NAME \ --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \ --zone ZONE
Remplacez les éléments suivants :
- CLUSTER_NAME : nom du cluster que vous souhaitez créer, par exemple
test-cluster
- ZONE : zone GKE (par exemple,
us-central1-a
)
- CLUSTER_NAME : nom du cluster que vous souhaitez créer, par exemple
La création du cluster peut prendre quelques minutes.
Activer l'autorisation binaire sur un cluster existant
Pour activer l'autorisation binaire sur un cluster existant, procédez comme suit :
Console
Dans la console Google Cloud, accédez à la page GKE.
Sous Clusters Kubernetes, recherchez votre cluster.
Cliquez sur le nom du cluster.
Dans Clusters, sous Sécurité, recherchez Autorisation binaire, puis cliquez sur
.Sélectionnez Activer l'autorisation binaire.
Sélectionnez Application uniquement.
Cliquez sur Save Changes (Enregistrer les modifications).
gcloud
Définissez votre projet Google Cloud par défaut en exécutant la commande suivante :
gcloud config set project PROJECT_ID
Remplacez PROJECT_ID par l'ID du projet dans lequel vous souhaitez créer le cluster.
Mettez à jour le cluster.
Saisissez la commande suivante :
gcloud container clusters update CLUSTER_NAME \ --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \ --zone ZONE
Remplacez les éléments suivants :
- CLUSTER_NAME: nom du cluster pour lequel vous souhaitez activer l'autorisation binaire.
- ZONE: zone GKE (par exemple,
us-central1-a
).
L'application de l'autorisation binaire et la surveillance du CV sont activées sur les clusters. Pour modifier les paramètres de surveillance et d'application des CV, définissez
--binauthz-evaluation-mode
sur l'une des valeurs suivantes:POLICY_BINDINGS
: active uniquement la surveillance des CV et désactive une règle existante si elle existe.PROJECT_SINGLETON_POLICY_ENFORCE
: active uniquement l'application forcée et désactive la surveillance du CV si elle était précédemment activée.POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE
: active l'application et la surveillance du CV.
Pour en savoir plus sur les règles de CV et de gestion des clusters, consultez Gérer les règles de plate-forme de CV.
Vérifier que l'autorisation binaire est activée
Pour vérifier que l'autorisation binaire est activée pour le cluster, procédez comme suit :
Console
Accédez à la page GKE dans la console Google Cloud.
Sous Clusters Kubernetes, recherchez votre cluster.
Sous Sécurité, vérifiez que l'autorisation binaire est définie sur Activé.
gcloud
Pour répertorier les clusters en cours d'exécution dans votre projet, exécutez la commande suivante :
gcloud container clusters list
Vous pouvez éventuellement limiter l'affichage à une zone de calcul spécifique en ajoutant --zone ZONE
à la commande.
Remplacez ZONE par une zone, par exemple us-central1-a
.
Étapes suivantes
- Configurer une règle en utilisant la console Google Cloud, l'outil de ligne de commande ou l'API REST.