启用试运行模式

注意：本文档或部分引用了 Google 认为不尊重或冒犯他人的一个或多个术语。之所以使用这些术语，是因为它们是本文档所描述的软件中的关键字。

术语：whitelist

本文档介绍了如何启用试运行模式。

启用试运行模式时，Binary Authorization 会允许部署所有容器映像，即使这些映像违反了 Binary Authorization 政策也是如此。政策合规性状态消息会记录到 Cloud Audit Logs 中。您可以通过检查日志来确定某些映像是否应该被禁止部署并采取相应的纠正措施。如果政策配置按预期正常工作，您可以停用试运行模式以启用 Binary Authorization 强制执行；这样，那些违反了该政策的映像便会被禁止部署。

您可以在默认规则或特定规则中设置试运行模式。

准备工作

如需使用试运行模式，请为您的平台设置 Binary Authorization。

启用试运行

注意：在默认准入规则中启用试运行（如图所示）可以部署所有容器映像，即使它们违反了部署政策也是如此。

如需启用试运行，请执行以下操作：

控制台

1. 转到 Google Cloud Console 中的 Binary Authorization 页面。

   转到 Binary Authorization。

2. 点击修改政策。

3. 在默认规则或特定规则中，选中试运行模式。

   注意：为了演示试运行模式，您还可以将规则设置为禁止所有映像。如果进行此设置，则违反政策的所有映像都会被禁止部署，并且系统会记录这些违规行为。

4. 点击保存政策。

gcloud

1. 将 Binary Authorization 政策导出到 YAML 文件：

   gcloud container binauthz policy export  > /tmp/policy.yaml
   

2. 在文本编辑器中，将 enforcementMode 设置为 DRYRUN_AUDIT_LOG_ONLY 并保存文件。

   注意：为了演示试运行模式，您可以将 evaluationMode 设置为 ALWAYS_DENY。如果进行此设置，则违反政策的所有映像都会被禁止部署，并且系统会记录这些违规行为。

3. 如需更新政策，请执行以下命令以导入文件：

   gcloud container binauthz policy import /tmp/policy.yaml
   

注意：政策可能需要几分钟时间才能生效。

如需测试试运行模式，请有意部署一些违反政策的映像，然后从 Binary Authorization for GKE、Binary Authorization for Cloud Run 或 Binary Authorization for Anthos clusters on VMware 中查看试运行模式事件。

停用试运行模式

如需停用试运行模式，请按如下所示更新政策：

控制台

1. 转到 Google Cloud Console 中的 Binary Authorization 页面。

   转到 Binary Authorization

2. 点击修改政策。

3. 在默认规则或特定规则中，清除试运行模式。

4. 点击保存政策。

gcloud

1. 导出 Binary Authorization 政策：

   gcloud container binauthz policy export  > /tmp/policy.yaml
   

2. 在文本编辑器中，将 enforcementMode 设置为 ENFORCED_BLOCK_AND_AUDIT_LOG 并保存文件。

3. 如需更新政策，请执行以下命令以导入文件：

   gcloud container binauthz policy import /tmp/policy.yaml
   

注意：政策可能需要几分钟时间才能生效。

后续步骤

• 在 Cloud Audit Logs 中查看源自 Binary Authorization for GKE 的试运行模式事件。
• 在 Cloud Audit Logs 中查看源自 Binary Authorization for Cloud Run 的试运行模式事件。
• 在 Cloud Audit Logs 中查看源自 Binary Authorization for Anthos clusters on VMware 的试运行模式事件。