Deployment solo delle immagini create da Cloud Build

Questa pagina descrive come proteggere la catena di fornitura del software configurando Autorizzazione binaria per consentire il deployment solo delle immagini container create da Cloud Build.

Per configurare questo controllo del deployment, devi richiedere l'attestatore built-by-cloud-build nel criterio di Autorizzazione binaria. Cloud Build crea automaticamente l'attestatore built-by-cloud-build nel progetto quando esegui una build che genera immagini. Una volta create correttamente le immagini, Cloud Build automaticamente firma e crea attestazioni. Al momento del deployment, Autorizzazione binaria verifica le attestazioni con l'attestatore built-by-cloud-build. È consentito il deployment delle immagini verificate. Non è consentito eseguire il deployment delle immagini che non superano la verifica e l'errore viene registrato in Cloud Audit Logs.

Per la guida end-to-end che descrive come utilizzare i metadati registrati in Cloud Build e Autorizzazione binaria, vedi Utilizzo della provenienza firmata e di Autorizzazione binaria.

Prima di iniziare

Per utilizzare questa funzionalità, devi prima effettuare le seguenti operazioni:

Configura il criterio

In questa sezione configurerai il criterio di Autorizzazione binaria in modo che richieda l'attestatore built-by-cloud-build.

Per consentire il deployment solo delle immagini create da Cloud Build, esegui questi passaggi:

Console

  1. Vai alla pagina Autorizzazione binaria nella console Google Cloud:

    Vai ad Autorizzazione binaria

  2. Nella scheda Norme, fai clic su Modifica norma.

  3. Nella finestra di dialogo Modifica criterio, seleziona Consenti solo le immagini che sono state approvate da tutti i seguenti attestatori.

  4. Fai clic su Aggiungi attestatori.

  5. Nella finestra di dialogo Aggiungi attestatori, procedi nel seguente modo:

    1. Seleziona Aggiungi per nome progetto e attestatore ed esegui questi passaggi:
      1. Nel campo Nome progetto, inserisci il progetto in cui esegui Cloud Build.
      2. Fai clic sul campo Nome attestatore e tieni presente che l'attestatore built-by-cloud-build è disponibile.
      3. Fai clic su built-by-cloud-build.

    2. In alternativa, seleziona Aggiungi per ID risorsa attestatore. In ID risorsa attestatore, inserisci

      projects/PROJECT_ID/attestors/built-by-cloud-build

      Sostituzione di PROJECT_ID con il progetto in cui esegui Cloud Build.

  6. Fai clic su Aggiungi 1 attestatore.

  7. Fai clic su Save Policy (Salva criterio).

gcloud

  1. Esporta il criterio esistente in un file utilizzando il seguente comando:

    gcloud container binauthz policy export > /tmp/policy.yaml

  2. Modifica il file dei criteri.

  3. Modifica una delle seguenti regole:

    • defaultAdmissionRule
    • clusterAdmissionRules
    • istioServiceIdentityAdmissionRules
    • kubernetesServiceAccountAdmissionRules

  4. Aggiungi un blocco requireAttestationsBy alla regola se non ne esiste già uno.

  5. Nel blocco requireAttestationsBy, aggiungi

    projects/PROJECT_ID/attestors/built-by-cloud-build

    Sostituzione di PROJECT_ID con il progetto in cui esegui Cloud Build.

  6. Salva il file dei criteri.

  7. Importa il file dei criteri.

    gcloud container binauthz policy import /tmp/policy.yaml

    Quello che segue è un file dei criteri di esempio che contiene il riferimento a built-by-cloud-build-attestor:

    defaultAdmissionRule:
  evaluationMode: REQUIRE_ATTESTATION
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
  requireAttestationsBy:
    - projects/PROJECT_ID/attestors/built-by-cloud-build
name: projects/PROJECT_ID/policy

    Sostituisci PROJECT_ID con l'ID progetto in cui esegui Cloud Build.

Passaggi successivi