Habilita el modo de ejecución de prueba

Nota: En este documento o sección, se incluyen referencias a uno o más términos que Google considera ofensivos o irrespetuosos. Los términos se usan porque son palabras clave en el software que se describe en el documento.

Los términos: whitelist

En este documento, se explica cómo habilitar el modo de ejecución de prueba.

Cuando habilitas el modo de ejecución de prueba, la autorización binaria permite que se implementen todas las imágenes de contenedor, incluso si esas imágenes infringen la política de autorización binaria. Los mensajes de estado de cumplimiento de políticas se registran en Registros de auditoría de Cloud. Puedes inspeccionar el registro para determinar si las imágenes se hubieran inhabilitado y tomar las medidas correctivas. Cuando la configuración de la política funciona según lo previsto, puedes inhabilitar el modo de ejecución de prueba para habilitar la aplicación de la autorización binaria. No se pueden implementar las imágenes que infringen la política.

Puedes configurar el modo de ejecución de prueba en la regla predeterminada o en una específica.

Antes de comenzar

A fin de usar el modo de ejecución de prueba, configura la autorización binaria para tu plataforma.

Habilita la ejecución de prueba

Precaución: Habilitar la prueba de validación en la regla de admisión predeterminada, como se muestra, permite que se implementen todas las imágenes de contenedor, incluso si infringen la política de implementación.

Para habilitar la prueba de validación, sigue estos pasos:

Console

1. Ve a la página Autorización binaria en la consola de Google Cloud.

   Ve a Autorización binaria

2. Haz clic en Editar política.

3. En Regla predeterminada o en una regla específica, selecciona Modo de ejecución de prueba.

   Nota: Para demostrar el modo de ejecución de prueba, también puedes configurar la regla como No permitir todas las imágenes. Con esta configuración, todas las imágenes infringen la política, no se pueden implementar y se registran las infracciones.

4. Haga clic en Save Policy.

gcloud

1. Exporta la política de la autorización binaria a un archivo YAML:

   gcloud container binauthz policy export  > /tmp/policy.yaml
   

2. En un editor de texto, configura enforcementMode como DRYRUN_AUDIT_LOG_ONLY y guarda el archivo.

   Nota: Para demostrar el modo de ejecución de prueba, puedes configurar evaluationMode en ALWAYS_DENY. Con esta configuración, todas las imágenes infringen la política, no se pueden implementar y se registran las infracciones.

3. Para actualizar la política, importa el archivo con el comando siguiente:

   gcloud container binauthz policy import /tmp/policy.yaml
   

Nota: La política puede tomar unos minutos en aplicarse.

A fin de probar el modo de ejecución de prueba, implementa imágenes que infrinjan la política y, luego, visualiza los eventos del modo de ejecución de prueba de la autorización binaria para GKE, Cloud Run o clústeres de Anthos alojados en VMware.

Inhabilita el modo de ejecución de prueba

Para inhabilitar el modo de ejecución de prueba, actualiza tu política de la siguiente manera:

Console

1. Ve a la página Autorización binaria en la consola de Google Cloud.

   Ve a Autorización binaria

2. Haz clic en Editar política.

3. En Regla predeterminada o en una regla específica, borra el Modo de ejecución de prueba.

4. Haga clic en Save Policy.

gcloud

1. Exporta la política de autorización binaria:

   gcloud container binauthz policy export  > /tmp/policy.yaml
   

2. En un editor de texto, configura enforcementMode como ENFORCED_BLOCK_AND_AUDIT_LOG y guarda el archivo.

3. Para actualizar la política, importa el archivo con el comando siguiente:

   gcloud container binauthz policy import /tmp/policy.yaml
   

Nota: La política puede tomar unos minutos en aplicarse.

¿Qué sigue?

• Visualiza los eventos del modo de ejecución de prueba de la autorización binaria para GKE en los Registros de auditoría de Cloud.
• Visualiza los eventos del modo de ejecución de prueba de la autorización binaria para Cloud Run en los Registros de auditoría de Cloud.
• Visualiza los eventos del modo de ejecución de prueba de la autorización binaria para los clústeres de Anthos alojados en VMware en los Registros de auditoría de Cloud.