使用 Breakglass (Cloud Run)

本页面介绍了如何使用 Breakglass 在 Cloud Run 上部署或传送违反了 Binary Authorization 政策的映像。

注意：当您使用 Breakglass 部署映像时，Breakglass 事件会自动记录到 Cloud Audit Logs，无论部署是满足还是违反政策。您可以使用 Cloud Audit Logs 查看 Breakglass 事件并触发其他操作。

在开始之前，请设置 Binary Authorization for Cloud Run，并部署或传送映像。

如需使用 Breakglass，请按以下步骤操作。

控制台

在尝试部署或传送违反了 Binary Authorization 政策的映像时，Cloud Run 会显示一条错误消息并附带有一个 Breakglass 按钮。

如需绕过 Binary Authorization 强制执行并部署或传送违反了政策的容器，请执行以下操作：

1. 前往 Google Cloud 控制台中的“Cloud Run 服务”页面。

   转到“Cloud Run 服务”

2. 点击要为其使用 Breakglass 的服务的名称。

3. 点击 Breakglass 按钮。在显示的对话框中，执行以下操作：

   1. 输入“Breakglass 理由”。

      注意：使用 Breakglass 会创建包含 Breakglass 理由的日志条目。

   2. 如需绕过政策并部署映像，请点击 Breakglass 按钮。

gcloud

如需绕过 Binary Authorization 强制执行并部署或提供违反政策的容器，请输入以下命令：

  gcloud run services update SERVICE_NAME --breakglass=JUSTIFICATION
  

将 JUSTIFICATION 替换为要使用 Breakglass 的理由。

您现在可以在 Cloud Audit Logs 中查看 Breakglass 事件。

警告： 如果您直接修改 Cloud Run 服务的 YAML 配置以添加 run.googleapis.com/binary-authorization-breakglass: 'JUSTIFICATION' 注解，则可能会导致所有后续部署绕过 Binary Authorization 强制执行，并使用提供的正当理由来使用紧急情况处理机制。

后续步骤

• 在 Cloud Audit Logs 中查看 Binary Authorization 事件。
• 使用 Google Cloud 控制台或命令行工具配置 Binary Authorization 政策
• 通过使用证明来仅部署已签名的容器映像。