为本地集群设置

注意：如果您使用 Google Distributed Cloud on Bare Metal（仅限软件），则本文档仅适用于 1.15 版或更早版本的用户。对于 1.16 版或更高版本，可以在创建或更新集群期间配置 Binary Authorization。

注意：本文档或部分引用了 Google 认为不尊重或冒犯他人的一个或多个术语。之所以使用这些术语，是因为它们是本文档所描述的软件中的关键字。

术语：whitelist

注意： 本文档仅适用于 Google Distributed Cloud for Bare Metal 1.15 或更早版本的用户。对于 Google Distributed Cloud for Bare Metal 1.16 或更高版本的用户，可以在创建或更新集群期间配置 Binary Authorization。

本文档介绍如何设置 Google Distributed Cloud 中创建的用于本地集群的 Binary Authorization。并向您展示了如何配置示例 Binary Authorization 政策。

准备工作

1. 确保您的集群具有受支持的 Google Distributed Cloud 版本。Binary Authorization 支持以下环境。

   Bare Metal

   Google Distributed Cloud 1.14 或 1.15。对于 1.16 版或更高版本，可以在创建或更新集群期间配置 Binary Authorization。

   VMware

   Distributed Cloud for VMware (Google Distributed Cloud) 1.4 或更高版本。

2. Binary Authorization 服务使用可通过常规互联网连接访问的外部 IP 地址。针对 HTTPS 配置防火墙规则，以允许用户集群访问端点 binaryauthorization.googleapis.com。

   Bare Metal

   配置 Google Distributed Cloud 防火墙规则。

   VMware

   配置 Google Distributed Cloud 防火墙规则。

3. 如果要使用集中式 Cloud Audit Logs 查看审核日志条目（包括用于 Google Cloud外部集群的 Binary Authorization 的日志条目），您必须在集群配置中配置 Cloud Audit Logs。

   Bare Metal

   在 Google Distributed Cloud 中配置 Cloud Audit Logs。

   VMware

   在 Google Distributed Cloud 中配置 Cloud Audit Logs。

4. 您必须按照以下步骤启用 Binary Authorization API：

   1. 前往 Google Cloud 控制台。

      启用 API

   2. 在项目下拉列表中，选择您的舰队宿主项目。您可以在用户集群配置文件的 gkeConnect 部分中找到此项目。这是将您的用户集群连接到 Google Cloud的 Google Cloud 项目。

设置 Binary Authorization

在本部分中，您将设置本地集群中的 Binary Authorization。

指定安装环境变量

如需指定环境变量，请执行以下操作：

使用 Workload Identity

1. 指定舰队宿主项目：

   export PROJECT_ID=PROJECT_ID
   

2. 将舰队会员 ID 设置为您的集群 ID：

   运行 gcloud container fleet memberships list 命令时，会员 ID 列在 NAME 列中。

   export MEMBERSHIP_ID=CLUSTER_NAME
   

使用服务账号密钥

1. 指定舰队宿主项目：

   export PROJECT_ID=PROJECT_ID
   

   将 PROJECT_ID 替换为用户集群配置文件的 gkeConnect 部分中的 Google Cloud 项目。

2. 指定用户集群的 kubeconfig 文件的路径：

   export KUBECONFIG=PATH
   

   将 PATH 替换为用户集群 kubeconfig 文件的路径。

3. 为 Binary Authorization API 访问服务账号选择一个名称：

   export SA_NAME=SERVICE_ACCOUNT_NAME
   

   将 SERVICE_ACCOUNT_NAME 替换为您选择的服务账号名称。Binary Authorization 模块使用此服务账号来访问 Binary Authorization API。

4. 指定您在本指南后面部分要下载的服务账号密钥文件的路径：

   export SA_JSON_PATH=SA_KEY_FILE_PATH
   

   将 SA_KEY_FILE_PATH 替换为服务账号的 JSON 格式密钥文件的路径。

在用户集群中安装 Binary Authorization 模块

如需安装 Binary Authorization 模块，请执行以下操作：

使用 Workload Identity

舰队 Workload Identity 可让集群中的工作负载向 Google 进行身份验证，而无需下载、手动轮替和常规管理 Google Cloud 服务账号密钥。请参阅使用舰队 Workload Identity，详细了解舰队 Workload Identity 的工作原理以及使用该服务的优势。

1. 将 binaryauthorization.policyEvaluator 角色授予舰队宿主项目的 Kubernetes 服务账号：

   gcloud projects add-iam-policy-binding ${PROJECT_ID} \
       --member="serviceAccount:${PROJECT_ID}.svc.id.goog[binauthz-system/binauthz-admin]" \
       --role="roles/binaryauthorization.policyEvaluator"
   

2. 创建工作目录：

   1. 创建名为 binauthz 的目录。

   2. 切换到目录。

3. 下载 manifest-wi-0.2.6.yaml.tmpl 文件，该文件用于在用户集群中安装 Binary Authorization 模块：

   裸金属

   gcloud storage cp gs://anthos-baremetal-release/binauthz/manifest-wi-0.2.6.yaml.tmpl .
   

   VMware

   gcloud storage cp gs://gke-on-prem-release/binauthz/manifest-wi-0.2.6.yaml.tmpl .
   

4. 替换模板中的环境变量：

   envsubst < manifest-wi-0.2.6.yaml.tmpl > manifest-0.2.6.yaml
   

5. 在您的用户集群中安装 Binary Authorization 模块：

   kubectl apply -f manifest-0.2.6.yaml
   

6. 验证 Deployment 是否已创建：

   kubectl get pod --namespace binauthz-system
   

   您会看到列出的 Pod binauthz-module-deployment-*，Status 为 Running 且有 1/1 个 Pod 准备就绪，类似于如下输出：

   NAME                                          READY   STATUS    RESTARTS   AGE
   binauthz-module-deployment-5fddf9594f-qjprz   1/1     Running   0          11s
   

使用服务账号密钥

1. 设置 Google Cloud CLI 的默认项目：

   gcloud config set project ${PROJECT_ID}
   

2. 创建 Binary Authorization API 访问服务账号：

   gcloud iam service-accounts create ${SA_NAME}
   

3. 将 binaryauthorization.policyEvaluator 角色授予您的舰队宿主项目中的 Binary Authorization API 访问服务账号：

   gcloud projects add-iam-policy-binding ${PROJECT_ID}\
       --member="serviceAccount:${SA_NAME}@${PROJECT_ID}.iam.gserviceaccount.com" \
       --role="roles/binaryauthorization.policyEvaluator"
   

4. 创建工作目录：

   1. 创建名为 binauthz 的目录。

   2. 切换到目录。

5. 下载 manifest-0.2.6.yaml 文件，该文件用于在用户集群中安装 Binary Authorization 模块：

   裸金属

   gcloud storage cp gs://anthos-baremetal-release/binauthz/manifest-0.2.6.yaml .
   

   VMware

   gcloud storage cp gs://gke-on-prem-release/binauthz/manifest-0.2.6.yaml .
   

6. 为 binauthz-system 命名空间创建 YAML 文件。

   将以下内容复制到名为 namespace.yaml 的文件中：

   apiVersion: v1
   kind: Namespace
   metadata:
     labels:
       control-plane: binauthz-controller
     name: binauthz-system
   

7. 在您的用户集群中创建命名空间：

   kubectl apply -f namespace.yaml
   

   您将看到类似如下所示的输出：

   namespace/binauthz-system created
   

8. 下载该服务账号的 JSON 密钥文件：

   gcloud iam service-accounts keys create ${SA_JSON_PATH} --iam-account ${SA_NAME}@${PROJECT_ID}.iam.gserviceaccount.com
   

9. 将服务账号密钥作为 Kubernetes Secret 保存到您的用户集群中：

   kubectl --namespace binauthz-system create secret generic binauthz-sa --from-file=key.json=${SA_JSON_PATH}
   

10. 在您的用户集群中安装 Binary Authorization 模块：

    kubectl apply -f manifest-0.2.6.yaml
    

11. 验证 Deployment 是否已创建：

    kubectl get pod --namespace binauthz-system
    

    您会看到列出的 Pod binauthz-module-deployment-*，Status 为 Running 且有 1/1 个 Pod 准备就绪，类似于如下输出：

    NAME                                          READY   STATUS    RESTARTS   AGE
    binauthz-module-deployment-5fddf9594f-qjprz   1/1     Running   0          11s
    

设置和使用 Binary Authorization 政策

本部分介绍如何设置 Binary Authorization 政策并将其用于本地集群。

在每个示例中，您都需要配置政策，然后通过尝试在集群中部署容器映像来测试该政策。

全部允许

本部分演示了一个成功的使用场景。您将配置 Binary Authorization 政策，使容器映像满足该政策并能够成功部署。

注意：此政策允许部署所有容器映像。

在 Google Cloud中，执行以下操作：

控制台

1. 在 Google Cloud 控制台中，前往 Binary Authorization 页面。

   转到 Binary Authorization

2. 请务必选择舰队宿主项目 ID。

3. 点击修改政策。

4. 在项目默认规则下，选择允许所有映像。

5. 点击保存政策。

gcloud

1. 为舰队宿主项目设置 PROJECT_ID。您可以在用户集群配置文件的 gkeConnect 字段中找到此项目 ID。

   export PROJECT_ID=PROJECT_ID
   

   设置默认 Google Cloud 项目。

   gcloud config set project ${PROJECT_ID}
   

2. 将 YAML 格式的政策文件导出到本地系统：

   gcloud container binauthz policy export  > policy.yaml
   

   您的 YAML 文件如下所示：

   defaultAdmissionRule:
     enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
     evaluationMode: ALWAYS_ALLOW
   globalPolicyEvaluationMode: ENABLE
   name: projects/<var>PROJECT_ID</var>/policy
   

3. 修改 policy.yaml。

4. 将 evaluationMode 设置为 ALWAYS_ALLOW。

5. 如果文件中包含 requireAttestationsBy 块，请删除此块。

6. 保存文件。

7. 导入 policy.yaml，如下所示：

   gcloud container binauthz policy import policy.yaml
   

如需将豁免映像添加到许可名单，请在政策文件中添加以下内容：

admissionWhitelistPatterns:
  - namePattern: EXEMPT_IMAGE_PATH

将 EXEMPT_IMAGE_PATH 替换为要排除的映像的路径。如需豁免其他映像，请添加其他 - namePattern 条目。详细了解 admissionWhitelistPatterns。

在管理员工作站上，执行以下操作：

1. 为 Pod 创建清单文件。

   将以下内容保存到名为 pod.yaml 的文件中：

   apiVersion: v1
   kind: Pod
   metadata:
     name: test-pod
   spec:
     containers:
     - name: test-container
       image: us-docker.pkg.dev/google-samples/containers/gke/hello-app@sha256:c62ead5b8c15c231f9e786250b07909daf6c266d0fcddd93fea882eb722c3be4
   

2. 创建 Pod：

   kubectl apply -f pod.yaml
   

   您会看到 Pod 已成功部署。

3. 删除 Pod：

   kubectl delete -f pod.yaml
   

全都不允许

本部分演示了一个失败的使用场景。在本部分中，您将默认政策配置为禁止部署容器映像。

注意：此政策禁止部署所有容器映像。

在 Google Cloud 中，执行以下操作：

控制台

1. 在 Google Cloud 控制台中，前往 Binary Authorization 页面。

   转到 Binary Authorization

2. 确保您的舰队宿主项目处于选中状态。

3. 点击修改政策。

4. 在项目默认规则下，选择禁止所有映像。

5. 点击保存政策。

gcloud

1. 将 PROJECT_ID 设置为您的舰队宿主项目 ID。

   export PROJECT_ID=PROJECT_ID
   

2. 设置默认 Google Cloud 项目。

   gcloud config set project ${PROJECT_ID}
   

3. 导出 YAML 格式的政策文件：

   gcloud container binauthz policy export  > policy.yaml
   

4. 修改 policy.yaml。

5. 将 evaluationMode 设置为 ALWAYS_DENY。

6. 如果文件中包含 requireAttestationsBy 块，请删除此块。

7. 保存文件。

8. 导入 policy.yaml，如下所示：

   gcloud container binauthz policy import policy.yaml
   

注意：政策可能需要几分钟时间才能生效。

在管理员工作站上，执行以下操作：

1. 为 Pod 创建清单文件。

   将以下内容保存到名为 pod.yaml 的文件中：

   apiVersion: v1
   kind: Pod
   metadata:
     name: test-pod
   spec:
     containers:
     - name: test-container
       image: us-docker.pkg.dev/google-samples/containers/gke/hello-app@sha256:c62ead5b8c15c231f9e786250b07909daf6c266d0fcddd93fea882eb722c3be4
   

2. 创建 Pod：

   kubectl apply -f pod.yaml
   

   您会看到 Pod 已被禁止部署。输出如下所示：

   Error from server (VIOLATES_POLICY): error when creating "pod.yaml": admission webhook "binaryauthorization.googleapis.com" denied the request: Denied by default admission rule. Overridden by evaluation mode
   

获取用户集群资源 ID

本部分介绍如何为用户集群编写集群资源 ID。在 Binary Authorization 政策中，您可以创建集群特定的规则。您可以将这些规则与集群特定的资源 ID（该资源 ID 将基于集群 ID）相关联。

您可以按如下方式获取该资源 ID：

控制台

1. 在 Google Cloud 控制台中，前往 GKE 集群页面。

   转到集群

2. 选择集群的舰队宿主项目 ID。您可以在用户集群配置文件的 gkeConnect 部分中找到此项目 ID。

3. 在集群列表中的名称列下，找到您的集群 ID。

4. 如需创建资源 ID，请将前缀 global. 添加到集群 ID，以使资源 ID 采用以下格式：global.CLUSTER_ID。

gcloud

1. 使用 SSH 连接到您的管理员工作站。

2. 在管理员工作站上，运行以下命令：

   kubectl get membership -o yaml
   

3. 从输出的 spec.owner.id 字段中获取集群 ID。示例输出如下所示：

   apiVersion: v1
   items:
   - apiVersion: hub.gke.io/v1
     kind: Membership
     ...
     spec:
       owner:
         id: //gkehub.googleapis.com/projects/PROJECT_NUMBER/locations/global/memberships/my-cluster-id
   

   在示例输出中，集群 ID 为 my-cluster-id。

4. 如需创建资源 ID，请将前缀 global. 添加到集群 ID。在该示例中，资源 ID 为 global.my-cluster-id。

您可以在定义集群特定的规则时使用该资源 ID。了解如何使用 Google Cloud 控制台或 gcloud CLI 设置集群特定的规则。

更新失败政策

Binary Authorization 模块网络钩子可以配置为应急开启或应急关闭。

应急关闭

如需将失败政策更新为应急关闭，请执行以下操作：

1. 修改 manifest-0.2.6.yaml 文件并将 failurePolicy 设置为 Fail

2. 重新启用网络钩子：

   kubectl apply -f manifest-0.2.6.yaml
   

   您将看到类似如下所示的输出：

   serviceaccount/binauthz-admin unchanged
   role.rbac.authorization.k8s.io/binauthz-role configured
   clusterrole.rbac.authorization.k8s.io/binauthz-role configured
   rolebinding.rbac.authorization.k8s.io/binauthz-rolebinding unchanged
   clusterrolebinding.rbac.authorization.k8s.io/binauthz-rolebinding unchanged
   secret/binauthz-tls unchanged
   service/binauthz unchanged
   deployment.apps/binauthz-module-deployment unchanged
   validatingwebhookconfiguration.admissionregistration.k8s.io/binauthz-validating-webhook-configuration configured
   

应急开启

如需将失败政策更新为应急开启，请执行以下操作：

1. 修改 manifest-0.2.6.yaml 文件并将 failurePolicy 设置为 Ignore

2. 重新启用网络钩子：

   kubectl apply -f manifest-0.2.6.yaml
   

   您将看到类似如下所示的输出：

   serviceaccount/binauthz-admin unchanged
   role.rbac.authorization.k8s.io/binauthz-role configured
   clusterrole.rbac.authorization.k8s.io/binauthz-role configured
   rolebinding.rbac.authorization.k8s.io/binauthz-rolebinding unchanged
   clusterrolebinding.rbac.authorization.k8s.io/binauthz-rolebinding unchanged
   secret/binauthz-tls unchanged
   service/binauthz unchanged
   deployment.apps/binauthz-module-deployment unchanged
   validatingwebhookconfiguration.admissionregistration.k8s.io/binauthz-validating-webhook-configuration configured
   

如需了解详情，请参阅网络钩子失败政策。

清理

1. 以下代码示例展示了如何停用网络钩子：

   kubectl delete ValidatingWebhookConfiguration/binauthz-validating-webhook-configuration
   

2. 以下代码示例展示了如何重新启用网络钩子：

   kubectl apply -f manifest-0.2.6.yaml
   

3. 以下代码示例展示了如何删除与 Binary Authorization 相关的所有资源：

   kubectl delete -f manifest-0.2.6.yaml
   kubectl delete namespace binauthz-system
   

后续步骤

• 如需在创建 Pod 时检查政策合规性，而不实际阻止 Pod 的创建，请参阅启用试运行。
• 如需强制创建 Binary Authorization Enforcer 本会禁止创建的 Pod，请参阅使用 Breakglass。
• 使用 built-by-cloud-build 证明者仅部署由 Cloud Build 构建的映像。
• 如需实现基于证明者的 Binary Authorization 政策，请参阅以下内容：
  • 使用 Google Cloud 控制台或命令行工具配置政策。将默认规则或集群特定的规则设置为要求提供证明。
  • 使用 Google Cloud 控制台或命令行工具创建证明者。
  • 创建证明。
• 如需查看与 Binary Authorization for Distributed Cloud 相关的日志事件，请参阅查看 Cloud Audit Logs 事件。
• 监控指标。