Ative o modo de teste

Nota: Este documento ou secção inclui referências a um ou mais termos que a Google considera desrespeitosos ou ofensivos. Os termos são usados porque são palavras-chave no software descrito no documento.

Os termos: whitelist

Este documento explica como ativar o modo de teste.

Quando ativa o modo de teste, a autorização binária permite a implementação de todas as imagens de contentores, mesmo que essas imagens violem a política de autorização binária. As mensagens de estado de conformidade com as políticas são registadas nos registos de auditoria do Cloud. Pode inspecionar o registo para determinar se as imagens teriam sido proibidas e tomar medidas corretivas. Quando a configuração da política funcionar como pretende, pode desativar o modo de teste para ativar a aplicação da autorização binária; as imagens que violam a política não podem ser implementadas.

Pode definir o modo de teste na regra predefinida ou numa regra específica.

Antes de começar

Para usar o modo de teste, configure a autorização binária para a sua plataforma.

Ative a execução de ensaio

Aviso: a ativação do teste de execução na regra de admissão predefinida, conforme mostrado, permite a implementação de todas as imagens de contentores, mesmo que violem a política de implementação.

Para ativar o teste de execução, faça o seguinte:

Consola

1. Aceda à página Binary Authorization na Google Cloud consola.

   Aceda à Autorização binária.

2. Clique em Editar política.

3. Na Regra predefinida ou numa regra específica, selecione Modo de teste.

   Nota: para demonstrar o modo de teste, também pode definir a regra para Não permitir todas as imagens. Com esta definição, todas as imagens violam a política, não podem ser implementadas e as violações são registadas.

4. Clique em Guardar política.

gcloud

1. Exporte a política de autorização binária para um ficheiro YAML:

   gcloud container binauthz policy export  > /tmp/policy.yaml
   

2. Num editor de texto, defina enforcementMode como DRYRUN_AUDIT_LOG_ONLY e guarde o ficheiro.

   Nota: para demonstrar o modo de teste, pode definir evaluationMode como ALWAYS_DENY. Com esta definição, todas as imagens violam a política, não podem ser implementadas e as violações são registadas.

3. Para atualizar a política, importe o ficheiro executando o seguinte comando:

   gcloud container binauthz policy import /tmp/policy.yaml
   

Nota: a política pode demorar alguns minutos a entrar em vigor.

Para testar o modo de teste, implemente imagens que violem a política e, em seguida, veja os eventos do modo de teste da autorização binária para GKE, Cloud Run ou Google Distributed Cloud.

Desative o modo de teste

Para desativar o modo de execução de ensaio, atualize a sua política da seguinte forma:

Consola

1. Aceda à página Binary Authorization na Google Cloud consola.

   Aceda à Autorização binária

2. Clique em Editar política.

3. Na Regra predefinida ou numa regra específica, desmarque a opção Modo de teste.

4. Clique em Guardar política.

gcloud

1. Exporte a política de Autorização binária:

   gcloud container binauthz policy export  > /tmp/policy.yaml
   

2. Num editor de texto, defina enforcementMode como ENFORCED_BLOCK_AND_AUDIT_LOG e guarde o ficheiro.

3. Para atualizar a política, importe o ficheiro executando o seguinte comando:

   gcloud container binauthz policy import /tmp/policy.yaml
   

Nota: a política pode demorar alguns minutos a entrar em vigor.

O que se segue?

• Veja eventos do modo de teste do Binary Authorization para o GKE nos registos de auditoria da nuvem.
• Veja eventos do modo de teste a seco da autorização binária para o Cloud Run nos registos de auditoria do Google Cloud.
• Veja eventos do modo de teste de execução do Binary Authorization para o Distributed Cloud nos registos de auditoria do Google Cloud.