启用试运行模式

本文档介绍了如何启用试运行模式。

启用试运行模式时，Binary Authorization 会允许部署所有容器映像，即使这些映像违反了 Binary Authorization 政策也是如此。政策合规性状态消息会记录到 Cloud Audit Logs 中。您可以通过检查日志来确定某些映像是否应该被禁止部署并采取相应的纠正措施。如果政策配置按预期正常工作，您可以停用试运行模式以启用 Binary Authorization 强制执行；这样，那些违反了该政策的映像便会被禁止部署。

您可以在默认规则或特定规则中设置试运行模式。

准备工作

如需使用试运行模式，请为您的平台设置 Binary Authorization。

启用试运行

如需启用试运行，请执行以下操作：

控制台

转到 Google Cloud Console 中的 Binary Authorization 页面。

转到 Binary Authorization。
点击修改政策。
在默认规则或特定规则中，选中试运行模式。

注意：为了演示试运行模式，您还可以将规则设置为禁止所有映像。如果进行此设置，则违反政策的所有映像都会被禁止部署，并且系统会记录这些违规行为。
点击保存政策。

gcloud

将 Binary Authorization 政策导出到 YAML 文件：

gcloud container binauthz policy export  > /tmp/policy.yaml

在文本编辑器中，将 enforcementMode 设置为 DRYRUN_AUDIT_LOG_ONLY 并保存文件。

注意：为了演示试运行模式，您可以将 evaluationMode 设置为 ALWAYS_DENY。如果进行此设置，则违反政策的所有映像都会被禁止部署，并且系统会记录这些违规行为。
如需更新政策，请执行以下命令以导入文件：
```
gcloud container binauthz policy import /tmp/policy.yaml
```

如需测试试运行模式，请有意部署一些违反政策的映像，然后从 Binary Authorization for GKE、Binary Authorization for Cloud Run 或 Binary Authorization for Anthos 集群中查看试运行模式事件。

停用试运行模式

如需停用试运行模式，请按如下所示更新政策：

控制台

转到 Google Cloud Console 中的 Binary Authorization 页面。

转到 Binary Authorization
点击修改政策。
在默认规则或特定规则中，清除试运行模式。
点击保存政策。

gcloud

导出 Binary Authorization 政策：

gcloud container binauthz policy export  > /tmp/policy.yaml

在文本编辑器中，将 enforcementMode 设置为 ENFORCED_BLOCK_AND_AUDIT_LOG 并保存文件。
如需更新政策，请执行以下命令以导入文件：
```
gcloud container binauthz policy import /tmp/policy.yaml
```

后续步骤

在 Cloud Audit Logs 中查看源自 Binary Authorization for GKE 的试运行模式事件。
在 Cloud Audit Logs 中查看源自 Binary Authorization for Cloud Run 的试运行模式事件。
在 Cloud Audit Logs 中查看源自 Binary Authorization for Anthos 集群的试运行模式事件。