継続的検証を使用する

このページでは、Binary Authorization で継続的検証（CV）を使用する方法について説明します。

継続的検証は、Binary Authorization の機能です。ポリシーの遵守を継続するために、実行されている Pod に関連付けられたコンテナイメージを定期的にチェックします。結果は、CV によって Cloud Logging に記録されます。

CV は実行中の Pod を終了しません。

制限事項

CV には次の制限があります。

CV は、Google Kubernetes Engine（GKE）にデプロイされた Pod のみをサポートします。
CV は、Anthos Service Mesh サービス ID、Kubernetes サービスアカウント、Kubernetes Namespace の特定のルールを指定する Binary Authorization ポリシーはサポートしていません。

始める前に

Google Kubernetes の Binary Authorization が設定されている必要があります。
Binary Authorization をインストールしたプロジェクトのプロジェクト ID を選択します。CV は、プロジェクト内のすべてのクラスタの Pod からポリシー遵守イベントを受信し、ログに記録します。

CV の IAM ロールを設定する

Identity and Access Management（IAM）のロールには権限が含まれています。このロールは、ユーザー、グループ、サービスアカウントに割り当てることができます。各ロールに含まれている CV の権限は次のとおりです。

ロール名	CV 権限	説明
`roles/binaryauthorization.policyEditor`	`binaryauthorization.continuousValidationConfig.update`	CV を有効または無効にします。

CV を有効にする

コンソール

Google Cloud コンソールを使用して CV を有効にするには、次の手順を行います。

Google Cloud コンソールで、Binary Authorization の [ポリシー] ページに移動します。

Binary Authorization ポリシーに移動
[ポリシー] タブをクリックします。
[ポリシーの編集] をクリックします。
[GKE と Anthos のデプロイ向けの追加設定] セクションを開きます。
[継続的検証を有効にする] チェックボックスをオンにします。
[ポリシーを保存] をクリックします。

REST API

REST API を使用して CV を有効にするには、次の手順を行います。

プロジェクト ID を保存します。
```
DEPLOYER_PROJECT_ID=DEPLOYER_PROJECT_ID
```
DEPLOYER_PROJECT_ID は、GKE を実行するプロジェクトの ID に置き換えます。
GCP 用の OAuth トークンを取得します。
```
BEARER_TOKEN=$(gcloud auth print-access-token)
```
トークンは短時間しか有効でありません。

CV を有効にします。

curl "https://binaryauthorization.googleapis.com/v1alpha2/projects/${DEPLOYER_PROJECT_ID}/continuousValidationConfig" -X PUT -H "authorization: Bearer $BEARER_TOKEN" -H "Content-Type: application/json" --data '{"enforcementPolicyConfig": {"enabled": "true"}}'

これで、イベントをログに記録するように CV を構成できました。

Logging のログエントリは次の例のようになります。

{
  "insertId": "6054e143-0000-2562-aa64-883d24f57e70",
  "jsonPayload": {
    "@type": "type.googleapis.com/google.cloud.binaryauthorization.v1beta1.ContinuousValidationEvent",
    "podEvent": {
      "images": [
        {
          "description": "Image <var>IMAGE_NAME@IMAGE_DIGEST</var> denied by
           attestor projects/<var>ATTESTOR_PROJECT_ID</var>/attestors/<var>ATTESTOR_NAME</var>:
           No attestations found that were valid and signed by a key trusted by
           the attestor",
          "image": "<var>IMAGE_NAME@IMAGE_DIGEST</var>",
          "result": "DENY"
        }
      ],
      "verdict": "VIOLATES_POLICY",
      "deployTime": "2021-03-19T17:00:08Z",
      "pod": "<var>POD_NAME</var>"
    }
  },
  "resource": {
    "type": "k8s_cluster",
    "labels": {
      "cluster_name": "<var>CLUSTER_NAME</var>",
      "location": "<var>CLUSTER_LOCATION</var>",
      "project_id": "<var>DEPLOYER_PROJECT_ID</var>"
    }
  },
  "timestamp": "2021-03-19T17:15:43.872702342Z",
  "severity": "WARNING",
  "logName": "projects/<var>DEPLOYER_PROJECY_ID</var>/logs/binaryauthorization.googleapis.com%2Fcontinuous_validation",
  "receiveTimestamp": "2021-03-19T17:57:00.432116179Z"
}

CV イベントのクエリを実行する方法については、Cloud Logging で CV イベントを表示するをご覧ください。

トラブルシューティング

CV は、Cloud Asset Inventory や Pub/Sub などの他の Google Cloud サービスを使用します。CV に失敗した場合は、Cloud Logging で Cloud Asset Inventory のエラーを確認できます。

また、CV は binauthz-cv-cai-feed というフィードリソースを作成します。フィードを削除または変更すると、CV が失敗することがあります。CV は、欠落しているフィードや変更されたフィードを自動的に復元しますが、復元するまで検出結果が記録されない場合があります。

CV を無効にする

コンソール

Google Cloud コンソールを使用して CV を無効にするには、次の手順を行います。

Google Cloud コンソールで [Binary Authorization] ページに移動します。

Binary Authorization ポリシーに移動
[ポリシー] タブをクリックします。
[ポリシーの編集] をクリックします。
[継続的検証を有効にする] チェックボックスをオフにします。
[ポリシーを保存] をクリックします。

REST API

REST API を使用して CV を無効にするには、次の手順を行います。

プロジェクト ID を保存します。
```
DEPLOYER_PROJECT_ID=DEPLOYER_PROJECT_ID
```
DEPLOYER_PROJECT_ID は、GKE を実行するプロジェクトの ID に置き換えます。
GCP 用の OAuth トークンを取得します。
```
BEARER_TOKEN=$(gcloud auth print-access-token)
```
トークンは短時間しか有効でありません。

CV は、次のコマンドを使用して無効にします。

curl "https://binaryauthorization.googleapis.com/v1alpha2/projects/${DEPLOYER_PROJECT_ID}/continuousValidationConfig" -X PUT -H "authorization: Bearer $BEARER_TOKEN" -H "Content-Type: application/json" --data '{"enforcementPolicyConfig": {"enabled": "false"}}'

Cloud Logging で CV イベントを表示する

CV を有効にすると、Binary Authorization ポリシーに違反するすべての Pod が定期的に Cloud Logging に記録されます。

これらのログエントリには、次のログ名が含まれています。

logName:"binaryauthorization.googleapis.com%2Fcontinuous_validation"

ログエクスプローラ

ログエクスプローラを使用して Cloud Logging で CV イベントを表示するには、次の手順を行います。

[ログエクスプローラ] に移動
Google Cloud のオペレーションスイートを有効にしたプロジェクト ID を選択します。

次のクエリを検索クエリボックスに入力します。

logName:"binaryauthorization.googleapis.com%2Fcontinuous_validation"

時間範囲セレクタで期間を選択します。

以前のログビューア

ログエクスプローラを使用して Cloud Logging で CV イベントを表示するには、次の手順を行います。

[ログエクスプローラ] に移動
[オプション] プルダウンメニューから [以前のログビューアに戻る] を選択します。
Google Cloud のオペレーションスイートを設定した Google Cloud プロジェクトを選択します。

次のクエリを検索クエリボックスに入力します。

logName:"binaryauthorization.googleapis.com%2Fcontinuous_validation"

時間範囲セレクタで期間を選択します。

gcloud

gcloud を使用して Cloud Logging 内の過去 1 週間の CV イベントを表示するには、次のコマンドを実行します。

gcloud logging read --order="desc" --freshness=7d \
  'logName:"binaryauthorization.googleapis.com%2Fcontinuous_validation"'

次のステップ

ブレークグラスを使用して Pod をデプロイし、ブレークグラスイベントを表示する。
ドライランを有効にしてコンテナイメージをデプロイし、ドライランイベントを表示する。

継続的検証を使用する

制限事項

始める前に

CV の IAM ロールを設定する

CV を有効にする

コンソール

REST API

トラブルシューティング

CV を無効にする

コンソール

REST API

Cloud Logging で CV イベントを表示する

ログ エクスプローラ

以前のログビューア

gcloud

次のステップ

ログエクスプローラ