En esta página, se muestra cómo usar la verificación de actualidad de las imágenes de la validación continua (CV) de Autorización Binaria para comprobar la actualización de las imágenes asociadas con los Pods que se ejecutan en los clústeres de Google Kubernetes Engine (GKE) donde se habilita la CV. Para ello, la CV verifica cuándo se subió la imagen al registro de imágenes.
Esta verificación solo admite repositorios de Artifact Registry y Container Registry.
Costos
En esta guía, se usan los siguientes servicios de Google Cloud:
- Autorización Binaria, pero la CV está disponible de forma gratuita durante la etapa de vista previa
- Google Kubernetes Engine
Para generar una estimación de costos en función del uso previsto, usa la calculadora de precios.
Antes de comenzar
- Accede a tu cuenta de Google Cloud. Si eres nuevo en Google Cloud, crea una cuenta para evaluar el rendimiento de nuestros productos en situaciones reales. Los clientes nuevos también obtienen $300 en créditos gratuitos para ejecutar, probar y, además, implementar cargas de trabajo.
- Instala Google Cloud CLI.
-
Para inicializar la CLI de gcloud, ejecuta el siguiente comando:
gcloud init
-
Crea o selecciona un proyecto de Google Cloud.
-
Crea un proyecto de Google Cloud:
gcloud projects create PROJECT_ID
Reemplaza
PROJECT_ID
por un nombre para el proyecto de Google Cloud que estás creando. -
Selecciona el proyecto de Google Cloud que creaste:
gcloud config set project PROJECT_ID
Reemplaza
PROJECT_ID
por el nombre del proyecto de Google Cloud.
-
-
Asegúrate de que la facturación esté habilitada para tu proyecto de Google Cloud.
-
Habilita las APIs de Artifact Registry, Binary Authorization, Google Kubernetes Engine:
gcloud services enable artifactregistry.googleapis.com
binaryauthorization.googleapis.com cloudbuild.googleapis.com container.googleapis.com - Instala Google Cloud CLI.
-
Para inicializar la CLI de gcloud, ejecuta el siguiente comando:
gcloud init
-
Crea o selecciona un proyecto de Google Cloud.
-
Crea un proyecto de Google Cloud:
gcloud projects create PROJECT_ID
Reemplaza
PROJECT_ID
por un nombre para el proyecto de Google Cloud que estás creando. -
Selecciona el proyecto de Google Cloud que creaste:
gcloud config set project PROJECT_ID
Reemplaza
PROJECT_ID
por el nombre del proyecto de Google Cloud.
-
-
Asegúrate de que la facturación esté habilitada para tu proyecto de Google Cloud.
-
Habilita las APIs de Artifact Registry, Binary Authorization, Google Kubernetes Engine:
gcloud services enable artifactregistry.googleapis.com
binaryauthorization.googleapis.com cloudbuild.googleapis.com container.googleapis.com - Asegúrate de que gcloud CLI esté actualizada a la versión más reciente.
- Instala la herramienta de línea de comandos de
kubectl
. - Si tus políticas de autorización binaria y clústeres de GKE están en proyectos diferentes, asegúrate de que la autorización binaria esté habilitada en ambos proyectos.
Funciones obligatorias
En esta sección, se muestra cómo configurar las funciones para esta verificación.
Descripción general
Si ejecutas todos los productos mencionados en esta guía en el mismo proyecto, no necesitas establecer ningún permiso. La autorización binaria configura las funciones de forma correcta cuando la habilitas. Si ejecutas los productos en diferentes proyectos, debes establecer los roles como se describe en esta sección.
Para garantizar que el agente de servicio de Autorización Binaria del proyecto de política tenga los permisos necesarios para evaluar la verificación de actualidad de las imágenes de CV, pídele a tu administrador que otorgue al agente de servicio de Autorización Binaria del proyecto de política los siguientes roles de IAM:
-
Si tu proyecto de clúster es diferente del proyecto de política, usa el
Evaluador de política de Autorización Binaria (
roles/binaryauthorization.policyEvaluator
) en el agente de servicio de Autorización Binaria del proyecto del clúster, para que acceda al proyecto de política -
Si tu proyecto de artefacto es diferente del proyecto de política, usa el
Lector de Artifact Registry (
roles/artifactregistry.reader
) en el agente de servicio de Autorización Binaria del proyecto de política para que acceda al proyecto de certificación -
Si tu proyecto de artefacto es diferente al de tu clúster, usa el
lector de Artifact Registry (
roles/artifactregistry.reader
) en el agente de servicio de autorización binaria del proyecto del clúster, para ello para acceder a los metadatos de imágenes en el proyecto de artefactos
Si quieres obtener más información para otorgar funciones, consulta Administra el acceso.
Es posible que tu administrador también pueda otorgar los permisos necesarios al agente de servicio de Autorización Binaria del proyecto de política a través de roles personalizados o de otros roles predefinidos.
Otorga roles mediante gcloud CLI
Para garantizar que el agente de servicio de Autorización Binaria en cada proyecto tenga los permisos necesarios para evaluar esta verificación, otorga al agente de Autorización Binaria en cada uno de los siguientes roles de IAM.
El proyecto del clúster es diferente del proyecto de política
Otorga al agente de servicio de Autorización Binaria en el proyecto del clúster la función
Evaluador de políticas de autorización binaria
(roles/binaryauthorization.policyEvaluator
)
en el proyecto de política.
gcloud projects add-iam-policy-bindingPOLICY_PROJECT_ID
\ --member="serviceAccount:service-$(gcloud projects describeCLUSTER_PROJECT_ID
--format='value(projectNumber)')@gcp-sa-binaryauthorization.iam.gserviceaccount.com" \ --role=roles/binaryauthorization.policyEvaluator
Reemplaza lo siguiente:
POLICY_PROJECT_ID
: El ID del proyecto que contiene tu política.CLUSTER_PROJECT_ID
: El ID del proyecto del clúster.
Proyecto de política diferente del proyecto de artefacto
Otorga al agente de servicio de Autorización Binaria en el proyecto de política la función de
lector de Artifact Registry
(roles/artifactregistry.reader
) en el proyecto de artefacto.
gcloud projects add-iam-policy-bindingARTIFACT_PROJECT_ID
\ --member="serviceAccount:service-$(gcloud projects describePOLICY_PROJECT_ID
--format='value(projectNumber)')@gcp-sa-binaryauthorization.iam.gserviceaccount.com" \ --role=roles/artifactregistry.reader
Reemplaza ARTIFACT_PROJECT_ID
por el ID del proyecto que contiene
tu repositorio de Artifact Registry.
Proyecto de clúster diferente al proyecto de artefacto
Otorga al agente de servicio de autorización binaria en el proyecto del clúster la función de lector de Artifact Registry (roles/artifactregistry.reader
) en el proyecto de artefacto.
gcloud projects add-iam-policy-bindingARTIFACT_PROJECT_ID
\ --member="serviceAccount:service-$(gcloud projects describeCLUSTER_PROJECT_ID
--format='value(projectNumber)')@gcp-sa-binaryauthorization.iam.gserviceaccount.com" \ --role=roles/artifactregistry.reader
Reemplaza lo siguiente:
ARTIFACT_PROJECT_ID
: El ID del proyecto que contiene tu repositorio de Artifact Registry.CLUSTER_PROJECT_ID
: El ID del proyecto que ejecuta tus clústeres de GKE.
Crea una política de plataforma
Para crear una política de plataforma de CV con la verificación de actualidad de las imágenes, haz lo siguiente:
Crea el archivo YAML de la política de plataforma:
cat << EOF > /tmp/my-policy.yaml gkePolicy: checkSets: - checks: - imageFreshnessCheck: maxUploadAgeDays: MAX_UPLOAD_AGE_DAYS displayName: CHECK_DISPLAY_NAME displayName: CHECK_SET_DISPLAY_NAME EOF
Reemplaza lo siguiente:
MAX_UPLOAD_AGE_DAYS
: el tiempo máximo transcurrido desde que se subió la imagen al registro en días.CHECK_SET_DISPLAY_NAME
: un nombre visible opcional que elijas para el conjunto de verificaciónCHECK_DISPLAY_NAME
: un nombre visible opcional que elijas para la verificación
Crea la política de plataforma:
Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:
- POLICY_ID: un ID de la política de plataforma que elijas. Si la política se encuentra en otro proyecto, puedes usar el nombre completo del recurso:
projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID
. - POLICY_PATH: una ruta de acceso al archivo de política.
- POLICY_PROJECT_ID: el ID del proyecto de políticas.
Ejecuta el siguiente comando:
Linux, macOS o Cloud Shell
gcloud beta container binauthz policy create POLICY_ID \ --platform=gke \ --policy-file=POLICY_PATH \ --project=POLICY_PROJECT_ID
Windows (PowerShell)
gcloud beta container binauthz policy create POLICY_ID ` --platform=gke ` --policy-file=POLICY_PATH ` --project=POLICY_PROJECT_ID
Windows (cmd.exe)
gcloud beta container binauthz policy create POLICY_ID ^ --platform=gke ^ --policy-file=POLICY_PATH ^ --project=POLICY_PROJECT_ID
- POLICY_ID: un ID de la política de plataforma que elijas. Si la política se encuentra en otro proyecto, puedes usar el nombre completo del recurso:
Habilita la CV
Puedes crear un clúster nuevo o actualizar uno existente para usar la supervisión de la CV con políticas de plataforma basadas en verificaciones.
Crea un clúster que use la supervisión de la CV
En esta sección, crearás un clúster que solo usará la supervisión de la CV con las políticas de plataforma basadas en verificaciones.
Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:
CLUSTER_NAME
: un nombre de clúster.LOCATION
: la ubicación, por ejemplo,us-central1
oasia-south1
.POLICY_PROJECT_ID
: El ID del proyecto en el que se almacena la política.POLICY_ID
: El ID de la política.CLUSTER_PROJECT_ID
: el ID del proyecto del clúster.
Ejecuta el siguiente comando:
Linux, macOS o Cloud Shell
gcloud beta container clusters create CLUSTER_NAME \ --location=LOCATION \ --binauthz-evaluation-mode=POLICY_BINDINGS \ --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \ --project=CLUSTER_PROJECT_ID
Windows (PowerShell)
gcloud beta container clusters create CLUSTER_NAME ` --location=LOCATION ` --binauthz-evaluation-mode=POLICY_BINDINGS ` --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ` --project=CLUSTER_PROJECT_ID
Windows (cmd.exe)
gcloud beta container clusters create CLUSTER_NAME ^ --location=LOCATION ^ --binauthz-evaluation-mode=POLICY_BINDINGS ^ --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^ --project=CLUSTER_PROJECT_ID
Crea un clúster que use la aplicación y la supervisión de la CV
En esta sección, crearás un clúster que use la aplicación de políticas singleton de proyecto con la supervisión de la CV con políticas de plataforma basadas en verificaciones:
Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:
CLUSTER_NAME
: un nombre de clúster.LOCATION
: la ubicación, por ejemplo,us-central1
oasia-south1
.POLICY_PROJECT_ID
: El ID del proyecto en el que se almacena la política.POLICY_ID
: El ID de la política.CLUSTER_PROJECT_ID
: el ID del proyecto del clúster.
Ejecuta el siguiente comando:
Linux, macOS o Cloud Shell
gcloud beta container clusters create CLUSTER_NAME \ --location=LOCATION \ --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE \ --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \ --project=CLUSTER_PROJECT_ID
Windows (PowerShell)
gcloud beta container clusters create CLUSTER_NAME ` --location=LOCATION ` --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ` --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ` --project=CLUSTER_PROJECT_ID
Windows (cmd.exe)
gcloud beta container clusters create CLUSTER_NAME ^ --location=LOCATION ^ --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ^ --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^ --project=CLUSTER_PROJECT_ID
Actualiza un clúster para usar la supervisión de la CV
En esta sección, actualizarás un clúster para usar la supervisión de la CV solo con las políticas de plataforma basadas en verificaciones. Si el clúster ya tiene la aplicación de la política de singleton de proyecto habilitada, la ejecución de este comando la inhabilita. En su lugar, considera actualizar el clúster con la aplicación y la supervisión de la CV habilitadas.
Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:
CLUSTER_NAME
: el nombre del clústerLOCATION
: la ubicación, por ejemplo:us-central1
oasia-south1
POLICY_PROJECT_ID
: el ID del proyecto en el que se almacena la políticaPOLICY_ID
: el ID de la políticaCLUSTER_PROJECT_ID
: Es el ID del proyecto del clúster
Ejecuta el siguiente comando:
Linux, macOS o Cloud Shell
gcloud beta container clusters update CLUSTER_NAME \ --location=LOCATION \ --binauthz-evaluation-mode=POLICY_BINDINGS \ --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \ --project=CLUSTER_PROJECT_ID
Windows (PowerShell)
gcloud beta container clusters update CLUSTER_NAME ` --location=LOCATION ` --binauthz-evaluation-mode=POLICY_BINDINGS ` --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ` --project=CLUSTER_PROJECT_ID
Windows (cmd.exe)
gcloud beta container clusters update CLUSTER_NAME ^ --location=LOCATION ^ --binauthz-evaluation-mode=POLICY_BINDINGS ^ --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^ --project=CLUSTER_PROJECT_ID
Actualiza un clúster para usar la aplicación y la supervisión de la CV
En esta sección, actualizarás un clúster para usar la aplicación de políticas de singleton del proyecto y la supervisión de la CV con políticas de plataforma basadas en verificaciones.
Antes de usar cualquiera de los datos de comando a continuación, haz los siguientes reemplazos:
CLUSTER_NAME
: un nombre de clústerLOCATION
: la ubicación, por ejemplo:us-central1
oasia-south1
POLICY_PROJECT_ID
: el ID del proyecto en el que se almacena la políticaPOLICY_ID
: el ID de la políticaCLUSTER_PROJECT_ID
: Es el ID del proyecto del clúster
Ejecuta el siguiente comando:
Linux, macOS o Cloud Shell
gcloud beta container clusters update CLUSTER_NAME \ --location=LOCATION \ --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE \ --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \ --project=CLUSTER_PROJECT_ID
Windows (PowerShell)
gcloud beta container clusters update CLUSTER_NAME ` --location=LOCATION ` --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ` --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ` --project=CLUSTER_PROJECT_ID
Windows (cmd.exe)
gcloud beta container clusters update CLUSTER_NAME ^ --location=LOCATION ^ --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ^ --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^ --project=CLUSTER_PROJECT_ID
Visualiza los registros de entradas de la CV
Con la CV, se registran los incumplimientos de políticas de la plataforma en Cloud Logging en 24 horas. Por lo general, puedes ver las entradas en un par de horas.
Si ninguna imagen infringe las políticas de la plataforma que habilitaste, no aparecerán las entradas en los registros.
Para ver las entradas de registro de CV de los últimos siete días, ejecuta el siguiente comando:
gcloud logging read \
--order="desc" \
--freshness=7d \
--project=CLUSTER_PROJECT_ID \
'logName:"binaryauthorization.googleapis.com%2Fcontinuous_validation" "policyName"'
Reemplaza CLUSTER_PROJECT_ID
por el ID del proyecto del clúster.
Tipos de verificación
Los registros de la CV verifican la información de incumplimiento en checkResults
. En la entrada, el valor checkType
indica la verificación. Los valores para cada verificación son los siguientes:
ImageFreshnessCheck
SigstoreSignatureCheck
SimpleSigningAttestationCheck
SlsaCheck
TrustedDirectoryCheck
VulnerabilityCheck
Registro de ejemplo
En el siguiente ejemplo de entrada de Logging de la CV, se describe una imagen que no infringe una verificación de directorio de confianza:
{
"insertId": "637c2de7-0000-2b64-b671-24058876bb74",
"jsonPayload": {
"podEvent": {
"endTime": "2022-11-22T01:14:30.430151Z",
"policyName": "projects/123456789/platforms/gke/policies/my-policy",
"images": [
{
"result": "DENY",
"checkResults": [
{
"explanation": "TrustedDirectoryCheck at index 0 with display name \"My trusted directory check\" has verdict NOT_CONFORMANT. Image is not in a trusted directory",
"checkSetName": "My check set",
"checkSetIndex": "0",
"checkName": "My trusted directory check",
"verdict": "NON_CONFORMANT",
"checkType": "TrustedDirectoryCheck",
"checkIndex": "0"
}
],
"image": "gcr.io/my-project/hello-app:latest"
}
],
"verdict": "VIOLATES_POLICY",
"podNamespace": "default",
"deployTime": "2022-11-22T01:06:53Z",
"pod": "hello-app"
},
"@type": "type.googleapis.com/google.cloud.binaryauthorization.v1beta1.ContinuousValidationEvent"
},
"resource": {
"type": "k8s_cluster",
"labels": {
"project_id": "my-project",
"location": "us-central1-a",
"cluster_name": "my-test-cluster"
}
},
"timestamp": "2022-11-22T01:44:28.729881832Z",
"severity": "WARNING",
"logName": "projects/my-project/logs/binaryauthorization.googleapis.com%2Fcontinuous_validation",
"receiveTimestamp": "2022-11-22T03:35:47.171905337Z"
}
Limpia
En esta sección, se describe cómo limpiar la supervisión de la CV que configuraste antes en esta guía.
Puedes inhabilitar la supervisión de la CV o Autorización Binaria y la CV en tu clúster.
Inhabilita Autorización Binaria en un clúster
Para inhabilitar la aplicación de CV y de Autorización Binaria en tu clúster, ejecuta el siguiente comando:
gcloud beta container clusters update CLUSTER_NAME \
--binauthz-evaluation-mode=DISABLED \
--location=LOCATION \
--project=CLUSTER_PROJECT_ID
Reemplaza lo siguiente:
CLUSTER_NAME
: es el nombre del clústerLOCATION
: es la ubicación del clústerCLUSTER_PROJECT_ID
: Es el ID del proyecto del clúster
Inhabilita la supervisión de políticas basada en verificaciones en un clúster
Para inhabilitar la CV con políticas basadas en verificaciones en el clúster y volver a habilitar la aplicación mediante la política de aplicación de Autorización Binaria, ejecuta el siguiente comando:
gcloud beta container clusters update CLUSTER_NAME \
--binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \
--location=LOCATION \
--project="CLUSTER_PROJECT_ID"
Reemplaza lo siguiente:
CLUSTER_NAME
: es el nombre del clústerLOCATION
: es la ubicación del clústerCLUSTER_PROJECT_ID
: Es el ID del proyecto del clúster
Ten en cuenta que --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
es equivalente a la marca --enable-binauthz
anterior.
Borrar la política
Para borrar la política, ejecuta el siguiente comando. No es necesario borrar la política de plataforma basada en verificaciones para inhabilitar la auditoría de políticas basada en verificaciones.
gcloud beta container binauthz policy delete POLICY_ID \
--platform=gke \
--project="POLICY_PROJECT_ID"
Reemplaza lo siguiente:
POLICY_ID
: el ID de la políticaPOLICY_PROJECT_ID
: el ID del proyecto de política
¿Qué sigue?
- Usa la verificación de actualidad de la imagen
- Usa la verificación de certificación de firma simple
- Usa la verificación de firma de Sigstore
- Usa la verificación de SLSA
- Usa la verificación del directorio de confianza
- Usa la verificación de vulnerabilidades
- Visualiza los registros de la CV