Configurer une stratégie d'autorisation binaire avec GKE

Configurer une stratégie d'autorisation binaire avec GKE

Remarque : Ce document ou cette section inclut des références à un ou plusieurs termes que Google considère comme irrespectueux ou choquants. Ces termes sont utilisés parce qu'ils constituent des mots clés utilisés par le logiciel décrit dans le présent document.

Liste des termes : whitelist

Ce guide de démarrage rapide explique comment configurer et tester une règle de base dans une stratégie d'autorisation binaire.

Dans ce guide de démarrage rapide, vous allez afficher et configurer la règle par défaut dans la stratégie. La règle par défaut autorise le déploiement de toutes les images. Pour ce faire, déployez une image de conteneur sur un cluster Google Kubernetes Engine (GKE). Vous définissez ensuite la règle par défaut pour interdire le déploiement de toutes les images et toute tentative de déploiement.

Remarque : Il ne s'agit pas d'une stratégie transposable dans une configuration réelle. Une règle type nécessite qu'une attestation accompagne l'image avant que l'outil d'application de l'autorisation binaire ne l'autorise. Pour consulter un tutoriel de bout en bout sur les attestations, consultez la page Premiers pas avec la CLI ou Premiers pas avec la console.

Avant de commencer

1. Connectez-vous à votre compte Google Cloud. Si vous débutez sur Google Cloud, créez un compte pour évaluer les performances de nos produits en conditions réelles. Les nouveaux clients bénéficient également de 300 $ de crédits gratuits pour exécuter, tester et déployer des charges de travail.

2. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

3. Make sure that billing is enabled for your Google Cloud project.

4. Enable the Artifact Registry, Binary Authorization APIs.

   Enable the APIs

5. Install the Google Cloud CLI.

6. To initialize the gcloud CLI, run the following command:

   gcloud init

7. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

8. Make sure that billing is enabled for your Google Cloud project.

9. Enable the Artifact Registry, Binary Authorization APIs.

   Enable the APIs

10. Install the Google Cloud CLI.

11. To initialize the gcloud CLI, run the following command:

    gcloud init

12. Installez kubectl.

Remarque : Cette opération peut prendre quelques minutes.

Créer un cluster avec activation forcée de l'autorisation binaire

Vous allez maintenant créer un cluster GKE avec l'autorisation binaire activée. Il s'agit du cluster dans lequel vous souhaitez exécuter les images de conteneur que vous déployez.

L'autorisation binaire fonctionne avec les clusters Autopilot ou Standard.

Console Google Cloud

Les étapes suivantes permettent de configurer un cluster Autopilot.

1. Dans la console Google Cloud, accédez à la page Clusters Kubernetes de GKE :

   Accéder à la page GKE

2. Cliquez sur Créer.

3. Dans Créer un cluster Autopilot, procédez comme suit :

   1. Dans le champ Nom, saisissez test-cluster.

   2. Dans le menu Région, sélectionnez us-central1.

   3. Développez la section Paramètres avancés.

   4. Cliquez sur le lien Sécurité pour afficher le panneau Sécurité.

   5. Dans la section Sécurité, cochez la case Activer l'autorisation binaire.

   6. Sélectionnez Appliquer uniquement.

   7. Cliquez sur Suivant, puis sur Suivant : Vérification et création.

   8. Pour commencer la création du cluster, cliquez sur Créer.

gcloud

Exécutez gcloud container clusters create avec l'option --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE activée.

gcloud container clusters create \
    --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \
    --zone us-central1-a \
    test-cluster

La création d'un cluster peut prendre plusieurs minutes.

Règle par défaut

Par défaut, votre stratégie d'autorisation binaire est configurée pour autoriser le déploiement de toutes les images de conteneur.

Console Google Cloud

Pour afficher la stratégie par défaut, procédez comme suit :

1. Accédez à la page Autorisation binaire dans Google Cloud Console.

   Accéder à la page "Autorisation binaire"

   La console affiche des détails sur la stratégie.

2. Cliquez sur Modifier la règle.

3. Dans Project Default Rule (Règle par défaut du projet), l'option Allow All Images (Autoriser toutes les images) est sélectionnée.

gcloud

Pour afficher la stratégie par défaut, exportez le fichier YAML de stratégie comme suit :

gcloud container binauthz policy export

Par défaut, ce fichier comporte les éléments suivants :

globalPolicyEvaluationMode: ENABLE
defaultAdmissionRule:
  evaluationMode: ALWAYS_ALLOW
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
name: projects/PROJECT_ID/policy

Remarque : globalPolicyEvaluationMode: ENABLE signifie que les images système gérées par Google sont exclues. Pour en savoir plus, consultez globalPolicyEvaluationMode.

API REST

Pour afficher la stratégie par défaut, récupérez-la au format JSON comme suit :

curl \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "x-goog-user-project: ${PROJECT_ID}" \
    "https://binaryauthorization.googleapis.com/v1/projects/${PROJECT_ID}/policy"

La commande produit le résultat suivant :

{
  "name": "projects/PROJECT_ID/policy",
  "globalPolicyEvaluationMode": "ENABLE",
  "defaultAdmissionRule": {
    "evaluationMode": "ALWAYS_ALLOW",
    "enforcementMode": "ENFORCED_BLOCK_AND_AUDIT_LOG"
  }
}

Remarque : globalPolicyEvaluationMode: ENABLE signifie que les images système gérées par Google sont exclues. Pour en savoir plus, consultez globalPolicyEvaluationMode.

Tester la règle d'application forcée

Vous pouvez tester la règle d'application en essayant de déployer un exemple d'image de conteneur sur le cluster.

Pour ce guide de démarrage rapide, vous utiliserez l'exemple d'image de conteneur situé dans le chemin gcr.io/google-samples/hello-app dans Container Registry. Il s'agit d'une image de conteneur publique créée par Google et contenant un exemple d'application "Hello, World!"

console Google Cloud

Pour tester la stratégie, procédez comme suit :

1. Accédez à la page des Clusters GKE dans la console Google Cloud.

   Accéder à la page GKE

2. Cliquez sur Déployer.

   La console vous invite à saisir des détails sur le déploiement.

3. Sélectionnez Existing Container Image (Image existante du conteneur).

4. Saisissez gcr.io/google-samples/hello-app:1.0 comme chemin d'accès à l'image de conteneur.

5. Cliquez sur Continuer.

6. Saisissez hello-server dans le champ Application name (Nom de l'application).

7. Cliquez sur Déployer.

kubectl

Pour tester la stratégie, procédez comme suit :

1. Mettez à jour le fichier kubeconfig local :

   gcloud container clusters get-credentials \
       --zone us-central1-a \
       test-cluster
   

   Cela fournit les identifiants et les informations de point de terminaison requis pour accéder au cluster dans GKE.

2. Déployez l'image :

   kubectl run hello-server --image gcr.io/google-samples/hello-app:1.0 --port 8080
   

Maintenant, vérifiez que le déploiement a été autorisé par l'autorisation binaire.

console Google Cloud

Pour vérifier que l'image a été déployée, accédez à la page Charges de travail GKE dans la console Google Cloud.

Accéder à la page GKE

Le nom d'une charge de travail correspondant au déploiement s'affiche. L'icône verte indique que l'image a été déployée avec succès.

kubectl

Pour vérifier que l'image a été déployée, procédez comme suit :

kubectl get pods

La commande imprime un message semblable à celui ci-dessous, indiquant que le déploiement a bien été effectué :

NAME                            READY     STATUS    RESTARTS   AGE
hello-server-579859fb5b-h2k8s   1/1       Running   0          1m

Veillez à supprimer le déploiement pour pouvoir passer à l'étape suivante :

console Google Cloud

Pour supprimer le déploiement, procédez comme suit :

1. Revenez à la page Charges de travail GKE dans la console Google Cloud.

   Accéder à la page GKE

2. Sélectionnez la charge de travail hello-server.

3. Cliquez sur Supprimer.

kubectl

Pour supprimer le déploiement, procédez comme suit :

kubectl delete deployment hello-server

Configurer la règle d'application pour interdire toutes les images

Maintenant, modifiez la stratégie pour bloquer le déploiement de toutes les images au lieu de l'autoriser.

console Google Cloud

Pour modifier la stratégie, procédez comme suit :

1. Revenez à la page Autorisation binaire dans la console Google Cloud.

   Accéder à la page "Autorisation binaire"

2. Cliquez sur Modifier la règle.

3. Sélectionnez Disallow All Images (Interdire toutes les images).

4. Cliquez sur Save Policy (Enregistrer la stratégie).

gcloud

Pour modifier la stratégie, procédez comme suit :

1. Exportez le fichier YAML de stratégie :

   gcloud container binauthz policy export  > /tmp/policy.yaml
   

2. Dans un éditeur de texte, modifiez evaluationMode, défini jusqu'alors sur ALWAYS_ALLOW, en le remplaçant par ALWAYS_DENY.

   Le fichier YAML de stratégie doit ressembler à ceci :

   globalPolicyEvaluationMode: ENABLE
   defaultAdmissionRule:
     evaluationMode: ALWAYS_DENY
     enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
   name: projects/PROJECT_ID/policy
   

3. Importez le fichier YAML de stratégie dans l’autorisation binaire :

   gcloud container binauthz policy import /tmp/policy.yaml
   

API REST

Pour modifier la stratégie, procédez comme suit :

1. Créez un fichier texte avec la stratégie mise à jour au format JSON :

   cat > /tmp/policy.json << EOM
   {
     "name": "projects/${PROJECT_ID}/policy",
     "globalPolicyEvaluationMode": "ENABLE",
     "defaultAdmissionRule": {
       "evaluationMode": "ALWAYS_DENY",
       "enforcementMode": "ENFORCED_BLOCK_AND_AUDIT_LOG"
     }
   }
   EOM
   

2. Envoyez la stratégie mise à jour à l'API REST :

   curl -X PUT \
       -H "Content-Type: application/json" \
       -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
       -H "x-goog-user-project: ${PROJECT_ID}" \
       --data-binary @/tmp/policy.json  \
       "https://binaryauthorization.googleapis.com/v1/projects/${PROJECT_ID}/policy"
   

Tester une nouvelle fois la stratégie

Testez une nouvelle fois la stratégie en déployant un exemple d'image de conteneur sur le cluster. Cette fois, l'autorisation binaire bloque le déploiement de l'image.

console Google Cloud

Déployez l'image :

1. Accédez à la page des Clusters GKE dans la console Google Cloud.

   Accéder à la page GKE

2. Cliquez sur Déployer.

   La console vous invite à saisir des détails sur le déploiement.

3. Sélectionnez Existing Container Image (Image existante du conteneur).

4. Saisissez gcr.io/google-samples/hello-app:1.0 comme chemin d'accès à l'image de conteneur.

5. Cliquez sur Continuer.

6. Saisissez hello-server dans le champ Application name (Nom de l'application).

7. Cliquez sur Déployer.

kubectl

Déployez l'image :

kubectl run hello-server --image gcr.io/google-samples/hello-app:1.0 --port 8080

Vous pouvez maintenant vérifier que la stratégie a été bloquée :

console Google Cloud

Pour vérifier que l'image n'a pas été déployée, procédez comme suit :

Revenez à la page Charges de travail GKE dans la console Google Cloud.

Accéder à la page GKE

Le nom d'une charge de travail associée à l'image de conteneur s'affiche. L'icône rouge indique que l'image n'a pas été déployée.

kubectl

Pour vérifier que l'image n'a pas été déployée, exécutez la commande suivante :

kubectl get pods

La commande imprime le message suivant, qui indique que l'image n'a pas été déployée :

No resources found.

Vous pouvez obtenir plus de détails sur le déploiement avec la commande suivante :

kubectl get event --template \
'{{range.items}}{{"\033[0;36m"}}{{.reason}}:{{"\033[0m"}}{{.message}}{{"\n"}}{{end}}'

Une réponse semblable à celle-ci s'affiche :

FailedCreate: Error creating: pods POD_NAME is forbidden: admission webhook "imagepolicywebhook.image-policy.k8s.io" denied the request: Image IMAGE_NAME denied by Binary Authorization default admission rule. Denied by always_deny admission rule

Dans ce résultat :

• POD_NAME : nom du pod.
• IMAGE_NAME : nom de l'image.
• ATTESTOR_NAME : nom du certificateur.

Effectuer un nettoyage

Pour éviter que les ressources utilisées sur cette page soient facturées sur votre compte Google Cloud, procédez comme suit :

Supprimez le cluster que vous avez créé dans GKE :

Console

Pour supprimer le cluster, procédez comme suit :

1. Accédez à la page des Clusters GKE dans la console Google Cloud.

   Accéder à la page GKE

2. Sélectionnez le cluster test-cluster, puis cliquez sur Supprimer.

gcloud

Pour supprimer le cluster, procédez comme suit :

gcloud container clusters delete \
    --zone=us-central1-a \
    test-cluster

Étape suivante

• Utilisez le certificateur built-by-cloud-build pour déployer uniquement des images créées par Cloud Build (bêta).
• Pour accéder à un tutoriel de bout en bout sur les exigences d'attestation, consultez les pages suivantes :
  • Premiers pas avec la CLI
  • Premiers pas avec la console Google Cloud
• Consultez nos ressources sur le DevOps et découvrez le programme de recherche DevOps Research and Assessment (DORA).