Créer un cluster

Cette page explique comment créer un cluster dans Google Kubernetes Engine (GKE) avec l'autorisation binaire activée. Vous pouvez réaliser cette étape dans la ligne de commande grâce aux commandes gcloud, ou bien dans Google Cloud Console. Cette étape fait partie de la configuration de l'autorisation binaire pour GKE.

Avant de commencer

Si ce n'est pas déjà fait, procédez comme suit :

Créer un cluster avec l'autorisation binaire activée

Pour créer un cluster avec l'autorisation binaire activée, procédez comme suit :

Console

  1. Dans la console Google Cloud, accédez à la page GKE.

    Accéder à la page GKE

  2. Cliquez sur Create Cluster (Créer le cluster). Renseignez les valeurs des champs par défaut, comme indiqué sur la page Créer un cluster zonal.

  3. Dans le volet de navigation de gauche, cliquez sur Sécurité.

  4. Sélectionnez Activer l'autorisation binaire.

  5. Sélectionnez Application uniquement.

  6. Cliquez sur Créer.

gcloud

  1. Définissez votre projet Google Cloud par défaut en exécutant la commande suivante :

    gcloud config set project PROJECT_ID

    Remplacez PROJECT_ID par l'ID du projet dans lequel vous souhaitez créer le cluster.

  2. Créez le cluster.

    Saisissez la commande suivante :

    gcloud container clusters create  CLUSTER_NAME \
    --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \
    --zone ZONE

    Remplacez les éléments suivants :

    • CLUSTER_NAME : nom du cluster que vous souhaitez créer, par exemple test-cluster
    • ZONE : zone GKE (par exemple, us-central1-a)

La création du cluster peut prendre quelques minutes.

Activer l'autorisation binaire sur un cluster existant

Pour activer l'autorisation binaire sur un cluster existant, procédez comme suit :

Console

  1. Dans la console Google Cloud, accédez à la page GKE.

    Accéder à la page GKE

  2. Sous Clusters Kubernetes, recherchez votre cluster.

  3. Cliquez sur le nom du cluster.

  4. Dans Clusters, sous Sécurité, recherchez Autorisation binaire, puis cliquez sur .

  5. Sélectionnez Activer l'autorisation binaire.

  6. Sélectionnez Application uniquement.

  7. Cliquez sur Save Changes (Enregistrer les modifications).

gcloud

  1. Définissez votre projet Google Cloud par défaut en exécutant la commande suivante :

    gcloud config set project PROJECT_ID

    Remplacez PROJECT_ID par l'ID du projet dans lequel vous souhaitez créer le cluster.

  2. Mettez à jour le cluster.

    Saisissez la commande suivante :

    gcloud container clusters update CLUSTER_NAME \
    --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \
    --zone ZONE

    Remplacez les éléments suivants :

    • CLUSTER_NAME: nom du cluster pour lequel vous souhaitez activer l'autorisation binaire.
    • ZONE: zone GKE (par exemple, us-central1-a).

    L'application de l'autorisation binaire et la surveillance du CV sont activées sur les clusters. Pour modifier les paramètres de surveillance et d'application des CV, définissez --binauthz-evaluation-mode sur l'une des valeurs suivantes:

    • POLICY_BINDINGS: active uniquement la surveillance des CV et désactive une règle existante si elle existe.
    • PROJECT_SINGLETON_POLICY_ENFORCE: active uniquement l'application forcée et désactive la surveillance du CV si elle était précédemment activée.
    • POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE: active l'application et la surveillance du CV.

    Pour en savoir plus sur les règles de CV et de gestion des clusters, consultez Gérer les règles de plate-forme de CV.

Vérifier que l'autorisation binaire est activée

Pour vérifier que l'autorisation binaire est activée pour le cluster, procédez comme suit :

Console

  1. Accédez à la page GKE dans la console Google Cloud.

    Accéder à la page GKE

  2. Sous Clusters Kubernetes, recherchez votre cluster.

  3. Sous Sécurité, vérifiez que l'autorisation binaire est définie sur Activé.

gcloud

Pour répertorier les clusters en cours d'exécution dans votre projet, exécutez la commande suivante :

gcloud container clusters list

Vous pouvez éventuellement limiter l'affichage à une zone de calcul spécifique en ajoutant --zone ZONE à la commande.

Remplacez ZONE par une zone, par exemple us-central1-a.

Étapes suivantes