단순 서명 증명 검사 사용

이 페이지에서는 Binary Authorization 지속적 검증(CV) 단순 서명 증명 검사를 사용하는 방법을 보여줍니다. 검사는 CV가 사용 설정된 Google Kubernetes Engine(GKE) 클러스터에서 실행 중인 포드와 연결된 컨테이너 이미지의 증명을 확인합니다.

비용

이 가이드에서는 다음 Google Cloud 서비스를 사용합니다.

Binary Authorization. 하지만 미리보기 단계 중에 CV를 무료로 사용할 수 있습니다.
GKE
Cloud Key Management Service

프로젝트 사용량을 기준으로 예상 비용을 산출하려면 가격 계산기를 사용하세요.

시작하기 전에

Google Cloud 계정에 로그인합니다. Google Cloud를 처음 사용하는 경우 계정을 만들고 Google 제품의 실제 성능을 평가해 보세요. 신규 고객에게는 워크로드를 실행, 테스트, 배포하는 데 사용할 수 있는 $300의 무료 크레딧이 제공됩니다.

Google Cloud CLI를 설치합니다.

gcloud CLI를 초기화하려면 다음 명령어를 실행합니다.

gcloud init

참고: gcloud CLI를 이전에 설치했으면

gcloud components
      update

를 실행하여 최신 버전을 사용할 수 있는지 확인합니다.

Google Cloud 프로젝트를 만들거나 선택합니다.

Google Cloud 프로젝트를 만듭니다.
```
gcloud projects create PROJECT_ID
```
PROJECT_ID를 만들려는 Google Cloud 프로젝트의 이름으로 바꿉니다.
만든 Google Cloud 프로젝트를 선택합니다.
```
gcloud config set project PROJECT_ID
```
PROJECT_ID를 Google Cloud 프로젝트 이름으로 바꿉니다.

Google Cloud 프로젝트에 결제가 사용 설정되어 있는지 확인합니다.

Binary Authorization, Cloud Key Management Service, Google Kubernetes Engine API를 사용 설정합니다.

gcloud services enable binaryauthorization.googleapis.com cloudkms.googleapis.com container.googleapis.com

Google Cloud CLI를 설치합니다.

gcloud CLI를 초기화하려면 다음 명령어를 실행합니다.

gcloud init

참고: gcloud CLI를 이전에 설치했으면

gcloud components
      update

를 실행하여 최신 버전을 사용할 수 있는지 확인합니다.

Google Cloud 프로젝트를 만들거나 선택합니다.

Google Cloud 프로젝트를 만듭니다.
```
gcloud projects create PROJECT_ID
```
PROJECT_ID를 만들려는 Google Cloud 프로젝트의 이름으로 바꿉니다.
만든 Google Cloud 프로젝트를 선택합니다.
```
gcloud config set project PROJECT_ID
```
PROJECT_ID를 Google Cloud 프로젝트 이름으로 바꿉니다.

Google Cloud 프로젝트에 결제가 사용 설정되어 있는지 확인합니다.

Binary Authorization, Cloud Key Management Service, Google Kubernetes Engine API를 사용 설정합니다.

gcloud services enable binaryauthorization.googleapis.com cloudkms.googleapis.com container.googleapis.com

gcloud CLI가 최신 버전으로 업데이트되었는지 확인합니다.
kubectl 명령줄 도구 설치
Binary Authorization 정책과 GKE 클러스터가 서로 다른 프로젝트에 있으면 Binary Authorization이 두 프로젝트 모두에 사용 설정되었는지 확인합니다.

필요한 역할

이 섹션에서는 이 검사에 대해 역할을 설정하는 방법을 보여줍니다.

개요

이 가이드에 언급된 모든 제품을 동일한 프로젝트에서 실행할 경우에는 권한을 설정할 필요가 없습니다. 역할을 사용 설정하면 Binary Authorization에서 역할이 올바르게 구성됩니다. 서로 다른 프로젝트에서 제품을 실행할 때는 이 섹션의 설명에 따라 역할을 설정해야 합니다.

각 프로젝트의 Binary Authorization 서비스 에이전트에 CV 단순 서명 증명 검사를 평가하는 데 필요한 권한이 있는지 확인하기 위해 각 프로젝트의 Binary Authorization 서비스 에이전트에 다음 IAM 역할을 부여하도록 관리자에게 요청하세요.

클러스터 프로젝트가 정책 프로젝트와 다른 경우: 정책 프로젝트에 액세스하기 위한 클러스터 프로젝트 Binary Authorization 서비스 계정의 Binary Authorization 정책 평가자(roles/binaryauthorization.policyEvaluator)
증명 프로젝트가 정책 프로젝트와 다른 경우: 증명 프로젝트에 액세스하기 위한 정책 프로젝트 Binary Authorization 서비스 에이전트의 컨테이너 분석 어커런스 뷰어(roles/containeranalysis.occurrences.viewer)

역할 부여에 대한 자세한 내용은 액세스 관리를 참조하세요.

관리자는 또한 커스텀 역할 또는 다른 사전 정의된 역할을 통해 각 프로젝트의 Binary Authorization 서비스 에이전트에 필요한 권한을 부여할 수 있습니다.

gcloud CLI를 사용하여 역할 부여

클러스터 프로젝트의 Binary Authorization 서비스 에이전트에 정책 프로젝트의 정책에 액세스할 수 있는 권한을 부여합니다.
1. 클러스터 프로젝트의 Binary Authorization 서비스 에이전트를 가져옵니다.
```
PROJECT_NUMBER=$(gcloud projects list --filter="projectId:CLUSTER_PROJECT_ID" \
  --format="value(PROJECT_NUMBER)")
CLUSTER_SERVICE_ACCOUNT="service-$PROJECT_NUMBER@gcp-sa-binaryauthorization.iam.gserviceaccount.com"
```
  CLUSTER_PROJECT_ID를 클러스터의 프로젝트 ID로 바꿉니다.
2. CV가 클러스터의 정책을 평가하도록 허용합니다.
```
gcloud projects add-iam-policy-binding POLICY_PROJECT_ID \
    --member="serviceAccount:$CLUSTER_SERVICE_ACCOUNT" \
    --role='roles/binaryauthorization.policyEvaluator'
```
  POLICY_PROJECT_ID를 정책이 포함된 프로젝트의 ID로 바꿉니다.
정책 프로젝트 Binary Authorization 서비스 에이전트가 증명 프로젝트의 증명에 액세스하도록 허용합니다.
1. 정책 프로젝트의 Binary Authorization 서비스 에이전트를 가져옵니다.
```
PROJECT_NUMBER=$(gcloud projects list \
  --filter="projectId:POLICY_PROJECT_ID" \
  --format="value(PROJECT_NUMBER)")
SERVICE_ACCOUNT="service-$PROJECT_NUMBER@gcp-sa-binaryauthorization.iam.gserviceaccount.com"
```
  POLICY_PROJECT_ID를 정책이 포함된 프로젝트의 ID로 바꿉니다.
2. 다음 역할을 부여합니다.
```
gcloud projects add-iam-policy-binding ATTESTATION_PROJECT_ID \
    --member="serviceAccount:$SERVICE_ACCOUNT" \
    --role='roles/containeranalysis.occurrences.viewer'
```
  ATTESTATION_PROJECT_ID를 증명이 포함된 프로젝트의 ID로 바꿉니다.

키 쌍 만들기

이 섹션에서는 타원 곡선 디지털 서명 알고리즘(ECDSA) 비대칭 키 쌍을 만듭니다.

비공개 키를 사용하여 이미지에 서명하면 증명이 생성됩니다. 플랫폼 정책에 공개 키를 포함합니다. CV는 증명을 검사할 때 공개 키를 사용하여 증명을 확인합니다.

Cloud Key Management Service 또는 로컬 키를 사용할 수 있지만 프로덕션에는 Cloud KMS 키를 사용하는 것이 좋습니다.

PKIX Cloud KMS

Cloud KMS에서 키 쌍을 만들려면 다음 안내를 따르세요.

키 쌍을 만드는 데 필요한 환경 변수를 설정합니다. 이렇게 하려면 다음 명령어에 자리표시자를 입력한 후 명령어를 실행하는 것이 좋습니다.
```
KMS_KEY_PROJECT_ID=KMS_KEY_PROJECT_ID
KMS_KEYRING_NAME=KMS_KEYRING_NAME
KMS_KEY_NAME=KMS_KEY_NAME
KMS_KEY_LOCATION=global
KMS_KEY_PURPOSE=asymmetric-signing
KMS_KEY_ALGORITHM=ec-sign-p256-sha256
KMS_PROTECTION_LEVEL=software
KMS_KEY_VERSION=1
```
다음을 바꿉니다.
- KMS_KEY_PROJECT_ID: 프로젝트 ID입니다.
- KMS_KEYRING_NAME: Cloud KMS 키링의 이름입니다.
- KMS_KEY_NAME: Cloud KMS 키의 이름입니다.

키링을 만듭니다.

gcloud kms keyrings create ${KMS_KEYRING_NAME} \
    --location=${KMS_KEY_LOCATION} \
    --project=${KMS_KEY_PROJECT_ID}

키를 만듭니다.

gcloud kms keys create ${KMS_KEY_NAME} \
    --location=${KMS_KEY_LOCATION} \
    --keyring=${KMS_KEYRING_NAME}  \
    --purpose=${KMS_KEY_PURPOSE} \
    --default-algorithm=${KMS_KEY_ALGORITHM} \
    --protection-level=${KMS_PROTECTION_LEVEL} \
    --project=${KMS_KEY_PROJECT_ID}

공개 키 자료를 파일로 내보냅니다.

gcloud kms keys versions get-public-key 1 \
    --key=${KMS_KEY_NAME} \
    --keyring=${KMS_KEYRING_NAME} \
    --location=${KMS_KEY_LOCATION} \
    --output-file=/tmp/ec_public.pem \
    --project=${KMS_KEY_PROJECT_ID}

로컬 키

로컬로 키 쌍을 만들려면 다음을 수행합니다.

비공개 키를 만듭니다.

PRIVATE_KEY_FILE="/tmp/ec_private.pem"
openssl ecparam -genkey -name prime256v1 -noout -out ${PRIVATE_KEY_FILE}

비공개 키에서 공개 키를 추출합니다.

PUBLIC_KEY_FILE="/tmp/ec_public.pem"
openssl ec -in ${PRIVATE_KEY_FILE} -pubout -out ${PUBLIC_KEY_FILE}

플랫폼 정책 만들기

단순 서명 증명 검사를 사용하여 CV 플랫폼 정책을 만들려면 다음을 수행합니다.

단순 서명 증명 검사 플랫폼 정책 YAML 파일을 만듭니다.

PKIX Cloud KMS

cat > /tmp/my-policy.yaml <<EOF
gkePolicy:
  checkSets:
    checks:
      simpleSigningAttestationCheck:
        containerAnalysisAttestationProjects:
        - projects/ATTESTATION_PROJECT_ID
        attestationAuthenticators:
          pkixPublicKeySet:
            pkixPublicKeys:
              publicKeyPem: |
$(awk '{printf "                %s\n", $0}' /tmp/ec_public.pem)
              signatureAlgorithm: ECDSA_P256_SHA256
              keyId: |
                projects/KMS_KEY_PROJECT_ID/locations/${KMS_KEY_LOCATION}/keyRings/${KMS_KEYRING_NAME}/cryptoKeys/${KMS_KEY_NAME}/cryptoKeyVersions/${KMS_KEY_VERSION}
EOF

다음을 바꿉니다.

ATTESTATION_PROJECT_ID: 증명이 저장되는 프로젝트의 ID입니다.
KMS_KEY_PROJECT_ID: KMS 키 프로젝트 ID입니다.

로컬 키

cat > /tmp/my-policy.yaml <<EOF
gkePolicy:
  checkSets:
    checks:
      simpleSigningAttestationCheck:
        containerAnalysisAttestationProjects:
        - "projects/ATTESTATION_PROJECT_ID"
        attestationAuthenticators:
          pkixPublicKeySet:
            pkixPublicKeys:
              publicKeyPem: |
$(awk '{printf "                %s\n", $0}' /tmp/ec_public.pem)
              signatureAlgorithm: ECDSA_P256_SHA256
              keyId: |
                PUBLIC_KEY_ID
EOF

다음을 바꿉니다.

ATTESTATION_PROJECT_ID: 증명이 저장되는 프로젝트의 ID입니다.
PUBLIC_KEY_ID: 로컬 키를 고유하게 식별하는 ID입니다.

플랫폼 정책을 만듭니다.

아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.
- POLICY_ID: 선택한 플랫폼 정책 ID. 정책이 다른 프로젝트에 있으면 projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID와 같이 전체 리소스 이름을 사용할 수 있습니다.
- POLICY_PATH: 정책 파일의 경로
- POLICY_PROJECT_ID: 정책 프로젝트 ID
다음 명령어를 실행합니다.
Linux, macOS 또는 Cloud Shell

참고: gcloud init 또는 gcloud auth login 및 gcloud config set project를 실행하여 Google Cloud CLI를 인증 및 프로젝트와 함께 초기화했는지 확인합니다.
```
gcloud beta container binauthz policy create POLICY_ID \
    --platform=gke \
    --policy-file=POLICY_PATH \
    --project=POLICY_PROJECT_ID
```
Windows(PowerShell)

참고: gcloud init 또는 gcloud auth login 및 gcloud config set project를 실행하여 Google Cloud CLI를 인증 및 프로젝트와 함께 초기화했는지 확인합니다.
```
gcloud beta container binauthz policy create POLICY_ID `
    --platform=gke `
    --policy-file=POLICY_PATH `
    --project=POLICY_PROJECT_ID
```
Windows(cmd.exe)

참고: gcloud init 또는 gcloud auth login 및 gcloud config set project를 실행하여 Google Cloud CLI를 인증 및 프로젝트와 함께 초기화했는지 확인합니다.
```
gcloud beta container binauthz policy create POLICY_ID ^
    --platform=gke ^
    --policy-file=POLICY_PATH ^
    --project=POLICY_PROJECT_ID
```
나중에 사용할 수 있도록 ID 값을 저장합니다.
```
PUBLIC_KEY_ID="PUBLIC_KEY_ID"
```
PUBLIC_KEY_ID를 이 가이드의 앞부분에서 플랫폼 정책 파일의 keyId 필드에 지정한 ID로 바꿉니다.

비공개 키는 이 가이드의 뒷부분에 설명된 대로 증명이 생성될 때 사용됩니다.

CV 사용 설정

검사 기반 플랫폼 정책으로 CV 모니터링을 사용하도록 새 클러스터를 만들거나 기존 클러스터를 업데이트할 수 있습니다.

CV 모니터링을 사용하는 클러스터 만들기

이 섹션에서는 검사 기반 플랫폼 정책으로 CV 모니터링만 사용하는 클러스터를 만듭니다.

아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.

CLUSTER_NAME: 클러스터 이름입니다.
LOCATION: 위치입니다(예: us-central1 또는 asia-south1).
POLICY_PROJECT_ID: 정책이 저장된 프로젝트의 ID입니다.
POLICY_ID: 정책 ID
CLUSTER_PROJECT_ID: 클러스터 프로젝트 ID입니다.

다음 명령어를 실행합니다.

Linux, macOS 또는 Cloud Shell

gcloud beta container clusters create CLUSTER_NAME \
    --location=LOCATION \
    --binauthz-evaluation-mode=POLICY_BINDINGS \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
    --project=CLUSTER_PROJECT_ID

Windows(PowerShell)

gcloud beta container clusters create CLUSTER_NAME `
    --location=LOCATION `
    --binauthz-evaluation-mode=POLICY_BINDINGS `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
    --project=CLUSTER_PROJECT_ID

Windows(cmd.exe)

gcloud beta container clusters create CLUSTER_NAME ^
    --location=LOCATION ^
    --binauthz-evaluation-mode=POLICY_BINDINGS ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
    --project=CLUSTER_PROJECT_ID

시행 및 CV 모니터링을 사용하는 클러스터 만들기

이 섹션에서는 project-singleton 정책 시행과 검사 기반 플랫폼 정책이 포함된 CV 모니터링을 모두 사용하는 클러스터를 만듭니다.

아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.

CLUSTER_NAME: 클러스터 이름입니다.
LOCATION: 위치입니다(예: us-central1 또는 asia-south1).
POLICY_PROJECT_ID: 정책이 저장된 프로젝트의 ID입니다.
POLICY_ID: 정책 ID
CLUSTER_PROJECT_ID: 클러스터 프로젝트 ID입니다.

다음 명령어를 실행합니다.

Linux, macOS 또는 Cloud Shell

gcloud beta container clusters create CLUSTER_NAME \
    --location=LOCATION \
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
    --project=CLUSTER_PROJECT_ID

Windows(PowerShell)

gcloud beta container clusters create CLUSTER_NAME `
    --location=LOCATION `
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
    --project=CLUSTER_PROJECT_ID

Windows(cmd.exe)

gcloud beta container clusters create CLUSTER_NAME ^
    --location=LOCATION ^
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
    --project=CLUSTER_PROJECT_ID

CV 모니터링을 사용하도록 클러스터 업데이트

이 섹션에서는 검사 기반 플랫폼 정책만 포함된 CV 모니터링을 사용하도록 클러스터를 업데이트합니다. 클러스터에 이미 프로젝트 싱글톤 정책 시행이 사용 설정된 경우 이 명령어를 실행하면 사용 중지됩니다. 대신 시행 및 CV 모니터링을 사용 설정하여 클러스터를 업데이트하는 것이 좋습니다.

아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.

CLUSTER_NAME: 클러스터 이름
LOCATION: 위치(예: us-central1 또는 asia-south1)
POLICY_PROJECT_ID: 정책이 저장된 프로젝트의 ID
POLICY_ID: 정책 ID
CLUSTER_PROJECT_ID: 클러스터 프로젝트 ID

다음 명령어를 실행합니다.

Linux, macOS 또는 Cloud Shell

gcloud beta container clusters update CLUSTER_NAME \
    --location=LOCATION \
    --binauthz-evaluation-mode=POLICY_BINDINGS \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
    --project=CLUSTER_PROJECT_ID

Windows(PowerShell)

gcloud beta container clusters update CLUSTER_NAME `
    --location=LOCATION `
    --binauthz-evaluation-mode=POLICY_BINDINGS `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
    --project=CLUSTER_PROJECT_ID

Windows(cmd.exe)

gcloud beta container clusters update CLUSTER_NAME ^
    --location=LOCATION ^
    --binauthz-evaluation-mode=POLICY_BINDINGS ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
    --project=CLUSTER_PROJECT_ID

시행 및 CV 모니터링을 사용하도록 클러스터 업데이트

이 섹션에서는 프로젝트 싱글톤 정책 시행과 검사 기반 플랫폼 정책이 포함된 CV 모니터링을 모두 사용하도록 클러스터를 업데이트합니다.

아래의 명령어 데이터를 사용하기 전에 다음을 바꿉니다.

CLUSTER_NAME: 클러스터 이름
LOCATION: 위치(예: us-central1 또는 asia-south1)
POLICY_PROJECT_ID: 정책이 저장된 프로젝트의 ID
POLICY_ID: 정책 ID
CLUSTER_PROJECT_ID: 클러스터 프로젝트 ID

다음 명령어를 실행합니다.

Linux, macOS 또는 Cloud Shell

gcloud beta container clusters update CLUSTER_NAME \
    --location=LOCATION \
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
    --project=CLUSTER_PROJECT_ID

Windows(PowerShell)

gcloud beta container clusters update CLUSTER_NAME `
    --location=LOCATION `
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
    --project=CLUSTER_PROJECT_ID

Windows(cmd.exe)

gcloud beta container clusters update CLUSTER_NAME ^
    --location=LOCATION ^
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
    --project=CLUSTER_PROJECT_ID

Artifact Analysis 메모 만들기

이 섹션에서는 Artifact Analysis 메모 예시를 만들어 증명을 연결합니다. 메모를 만들려면 다음을 수행합니다.

메모 변수를 만듭니다.

NOTE_PROJECT_ID=NOTE_PROJECT_ID
NOTE_ID="test-note"
NOTE_URI="projects/${NOTE_PROJECT_ID}/notes/${NOTE_ID}"
DESCRIPTION="CV test note"

NOTE_PROJECT_ID를 메모가 포함된 프로젝트의 ID로 바꿉니다.

메모 콘텐츠 파일을 만듭니다.

cat > /tmp/note_payload.json << EOM
{
  "name": "${NOTE_URI}",
  "attestation": {
    "hint": {
      "human_readable_name": "${DESCRIPTION}"
    }
  }
}
EOM

메모를 만듭니다.

curl -X POST \
    -H "Content-Type: application/json" \
    -H "Authorization: Bearer $(gcloud auth print-access-token)"  \
    -H "x-goog-user-project: ${NOTE_PROJECT_ID}" \
    --data-binary @/tmp/note_payload.json "https://containeranalysis.googleapis.com/v1/projects/${NOTE_PROJECT_ID}/notes/?noteId=${NOTE_ID}"

NOTE_PROJECT_ID를 메모가 포함된 프로젝트의 ID로 바꿉니다.

선택사항: 메모를 만들었는지 확인하려면 다음 안내를 따르세요.

curl \
    -H "Authorization: Bearer $(gcloud auth print-access-token)"  \
    -H "x-goog-user-project: NOTE_PROJECT_ID" \
"https://containeranalysis.googleapis.com/v1/projects/NOTE_PROJECT_ID/notes/"

NOTE_PROJECT_ID를 메모가 포함된 프로젝트의 ID로 바꿉니다.

CV 테스트

이 섹션에서는 증명을 만든 이미지를 배포하여 CV를 테스트합니다. 이 경우 CV 단순 서명 증명 검사는 증명을 확인하고 로그 항목을 생성하지 않습니다.

그런 후 증명이 없는 다른 이미지를 배포하도록 시도합니다. 이 경우에는 CV 검사가 증명을 찾을 수 없고 위반 사항을 Cloud Logging에 로깅합니다.

증명 만들기

검사를 충족하려면 이미지에 유효한 증명이 필요합니다. 증명을 만들려면 다음을 수행합니다.

증명을 만드는 데 사용할 변수를 만듭니다.

IMAGE_PATH=us-docker.pkg.dev/google-samples/containers/gke/hello-app
IMAGE_DIGEST=sha256:37e5287945774f27b418ce567cd77f4bbc9ef44a1bcd1a2312369f31f9cce567
IMAGE_TO_ATTEST="${IMAGE_PATH}@${IMAGE_DIGEST}"

서명 페이로드 파일을 만듭니다.

cat > /tmp/generated_payload.json << EOM
{
  "critical": {
    "identity": {
      "docker-reference": "${IMAGE_PATH}"
    },
    "image": {
      "docker-manifest-digest": "${IMAGE_DIGEST}"
    },
    "type": "Google cloud binauthz container signature"
  }
}
EOM

증명을 만듭니다.

페이로드에 서명합니다.

PKIX Cloud KMS

gcloud kms asymmetric-sign \
    --version=${KMS_KEY_VERSION} \
    --key=${KMS_KEY_NAME} \
    --keyring=${KMS_KEYRING_NAME} \
    --location=${KMS_KEY_LOCATION} --digest-algorithm sha256 \
    --input-file=/tmp/generated_payload.json \
    --signature-file=/tmp/ec_signature \
    --project=${KMS_KEY_PROJECT_ID}

로컬 키

openssl dgst -sha256 -sign ${PRIVATE_KEY_FILE} /tmp/generated_payload.json > /tmp/ec_signature

증명 콘텐츠를 만듭니다.

cat > /tmp/attestation.json << EOM
{
  "resourceUri": "${IMAGE_TO_ATTEST}",
  "note_name": "${NOTE_URI}",
  "attestation": {
    "serialized_payload": "$(base64 --wrap=0 /tmp/generated_payload.json)",
    "signatures": [{
      "public_key_id": "${PUBLIC_KEY_ID}",
      "signature": "$(base64 --wrap=0 /tmp/ec_signature)"
    }]
  }
}
EOM

증명을 만듭니다.

curl -X POST "https://containeranalysis.googleapis.com/v1/projects/${NOTE_PROJECT_ID}/occurrences/" \
    -H "Content-Type: application/json" \
    -H "X-Goog-User-Project: ${NOTE_PROJECT_ID}" \
    -H "Authorization: Bearer $(gcloud auth print-access-token)" \
    --data-binary @/tmp/attestation.json

NOTE_PROJECT_ID를 메모가 포함된 프로젝트의 ID로 바꿉니다.

증명이 있는 이미지 배포

증명이 생성된 이미지를 배포하려면 다음을 수행합니다.

kubectl을 구성합니다.
```
gcloud container clusters get-credentials CLUSTER_NAME \
    --location=LOCATION \
    --project=CLUSTER_PROJECT_ID
```
다음을 바꿉니다.
- CLUSTER_NAME: 클러스터 이름입니다.
- LOCATION: 클러스터 위치입니다.
- CLUSTER_PROJECT_ID: 클러스터 프로젝트 ID입니다.
서비스를 배포하고 Binary Authorization 정책에 따라 배포를 확인합니다.
```
kubectl run hello-app --image=$IMAGE_PATH@$IMAGE_DIGEST
```
포드가 배포되었습니다. 이미지에 증명이 있으므로 CV가 이 포드와 관련된 로그 항목을 생성하지 않습니다.

증명 없이 이미지 배포

이 섹션에서는 연결된 증명이 없는 이미지를 배포합니다.

정책에 증명이 필요하고 이 이미지에 증명이 없기 때문에 컨테이너가 실행되는 동안 CV가 정기적으로 위반 사항을 로깅합니다.

이미지를 배포하려면 다음 명령어를 실행합니다.

kubectl run hello-app-no-attestation \
    --image=gcr.io/google-samples/hello-app@sha256:845f77fab71033404f4cfceaa1ddb27b70c3551ceb22a5e7f4498cdda6c9daea

포드가 배포되었습니다. 이미지에 증명이 없기 때문에 포드가 실행되는 동안 CV가 로그 항목을 생성합니다.

CV 항목의 로그 보기

CV는 24시간 내에 플랫폼 정책 위반 사항을 Cloud Logging에 로깅합니다. 일반적으로 몇 시간 내에 항목이 표시됩니다.

사용 설정한 플랫폼 정책을 위반하는 이미지가 없으면 로그에 항목이 표시되지 않습니다.

지난 7일 동안의 CV 로그 항목을 보려면 다음 명령어를 실행합니다.

gcloud logging read \
     --order="desc" \
     --freshness=7d \
     --project=CLUSTER_PROJECT_ID \
    'logName:"binaryauthorization.googleapis.com%2Fcontinuous_validation" "policyName"'

CLUSTER_PROJECT_ID를 클러스터 프로젝트 ID로 바꿉니다.

검사 유형

CV가 검사 위반 정보를 checkResults에 로깅합니다. 항목에서 checkType 값은 검사를 나타냅니다. 각 검사의 값은 다음과 같습니다.

ImageFreshnessCheck
SigstoreSignatureCheck
SimpleSigningAttestationCheck
SlsaCheck
TrustedDirectoryCheck
VulnerabilityCheck

예시 로그

다음 예시 CV 로깅 항목은 신뢰할 수 있는 디렉터리 검사를 위반하는 미준수 이미지를 기술합니다.

{
  "insertId": "637c2de7-0000-2b64-b671-24058876bb74",
  "jsonPayload": {
    "podEvent": {
      "endTime": "2022-11-22T01:14:30.430151Z",
      "policyName": "projects/123456789/platforms/gke/policies/my-policy",
      "images": [
        {
          "result": "DENY",
          "checkResults": [
            {
              "explanation": "TrustedDirectoryCheck at index 0 with display name \"My trusted directory check\" has verdict NOT_CONFORMANT. Image is not in a trusted directory",
              "checkSetName": "My check set",
              "checkSetIndex": "0",
              "checkName": "My trusted directory check",
              "verdict": "NON_CONFORMANT",
              "checkType": "TrustedDirectoryCheck",
              "checkIndex": "0"
            }
          ],
          "image": "gcr.io/my-project/hello-app:latest"
        }
      ],
      "verdict": "VIOLATES_POLICY",
      "podNamespace": "default",
      "deployTime": "2022-11-22T01:06:53Z",
      "pod": "hello-app"
    },
    "@type": "type.googleapis.com/google.cloud.binaryauthorization.v1beta1.ContinuousValidationEvent"
  },
  "resource": {
    "type": "k8s_cluster",
    "labels": {
      "project_id": "my-project",
      "location": "us-central1-a",
      "cluster_name": "my-test-cluster"
    }
  },
  "timestamp": "2022-11-22T01:44:28.729881832Z",
  "severity": "WARNING",
  "logName": "projects/my-project/logs/binaryauthorization.googleapis.com%2Fcontinuous_validation",
  "receiveTimestamp": "2022-11-22T03:35:47.171905337Z"
}

삭제

이 섹션에서는 이 가이드의 앞부분에서 구성한 CV 모니터링을 삭제하는 방법을 설명합니다.

클러스터에서 CV 모니터링을 사용 중지하거나 Binary Authorization과 CV를 모두 사용 중지할 수 있습니다.

클러스터에서 Binary Authorization 사용 중지

클러스터에서 CV 및 Binary Authorization 시행을 모두 사용 중지하려면 다음 명령어를 실행합니다.

gcloud beta container clusters update CLUSTER_NAME \
    --binauthz-evaluation-mode=DISABLED \
    --location=LOCATION \
    --project=CLUSTER_PROJECT_ID

다음을 바꿉니다.

CLUSTER_NAME: 클러스터의 이름입니다.
LOCATION: 클러스터 위치입니다.
CLUSTER_PROJECT_ID: 클러스터 프로젝트 ID입니다.

클러스터에서 검사 기반 정책 모니터링 사용 중지

클러스터에서 검사 기반 정책으로 CV를 사용 중지하고 Binary Authorization 시행 정책을 사용하여 시행을 다시 사용 설정하려면 다음 명령어를 실행합니다.

gcloud beta container clusters update CLUSTER_NAME  \
    --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \
    --location=LOCATION \
    --project="CLUSTER_PROJECT_ID"

다음을 바꿉니다.

CLUSTER_NAME: 클러스터의 이름입니다.
LOCATION: 클러스터 위치입니다.
CLUSTER_PROJECT_ID: 클러스터 프로젝트 ID입니다.

--binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE는 이전 플래그 --enable-binauthz와 동일합니다.

정책 삭제

정책을 삭제하려면 다음 명령어를 실행합니다. 검사 기반 정책 감사를 사용 중지하기 위해 검사 기반 플랫폼 정책을 삭제할 필요는 없습니다.

gcloud beta container binauthz policy delete POLICY_ID \
    --platform=gke \
    --project="POLICY_PROJECT_ID"

다음을 바꿉니다.

POLICY_ID: 정책의 ID입니다.
POLICY_PROJECT_ID: 정책 프로젝트 ID입니다.

단순 서명 증명 검사 사용

비용

시작하기 전에

필요한 역할

개요

gcloud CLI를 사용하여 역할 부여

키 쌍 만들기

PKIX Cloud KMS

로컬 키

플랫폼 정책 만들기

PKIX Cloud KMS

로컬 키

Linux, macOS 또는 Cloud Shell

Windows(PowerShell)

Windows(cmd.exe)

CV 사용 설정

CV 모니터링을 사용하는 클러스터 만들기

Linux, macOS 또는 Cloud Shell

Windows(PowerShell)

Windows(cmd.exe)

시행 및 CV 모니터링을 사용하는 클러스터 만들기

Linux, macOS 또는 Cloud Shell

Windows(PowerShell)

Windows(cmd.exe)

CV 모니터링을 사용하도록 클러스터 업데이트

Linux, macOS 또는 Cloud Shell

Windows(PowerShell)

Windows(cmd.exe)

시행 및 CV 모니터링을 사용하도록 클러스터 업데이트

Linux, macOS 또는 Cloud Shell

Windows(PowerShell)

Windows(cmd.exe)

Artifact Analysis 메모 만들기

CV 테스트

증명 만들기

PKIX Cloud KMS

로컬 키

증명이 있는 이미지 배포

증명 없이 이미지 배포

CV 항목의 로그 보기

검사 유형

예시 로그

삭제

클러스터에서 Binary Authorization 사용 중지

클러스터에서 검사 기반 정책 모니터링 사용 중지

정책 삭제

다음 단계