このページでは、Binary Authorization で継続的検証(CV)を使用する方法について説明します。
継続的検証は、Binary Authorization の機能です。ポリシーの遵守を継続するために、実行されている Pod に関連付けられたコンテナ イメージを定期的にチェックします。結果は、CV によって Cloud Logging に記録されます。
CV は実行中の Pod を終了しません。
制限事項
CV には次の制限があります。
- CV は、Google Kubernetes Engine(GKE)にデプロイされた Pod のみをサポートします。
- CV は、Anthos Service Mesh サービス ID、Kubernetes サービス アカウント、Kubernetes Namespace の特定のルールを指定する Binary Authorization ポリシーはサポートしていません。
始める前に
Google Kubernetes の Binary Authorization が設定されている必要があります。
Binary Authorization をインストールしたプロジェクトのプロジェクト ID を選択します。CV は、プロジェクト内のすべてのクラスタの Pod からポリシー遵守イベントを受信し、ログに記録します。
CV の IAM ロールを設定する
Identity and Access Management(IAM)のロールには権限が含まれています。このロールは、ユーザー、グループ、サービス アカウントに割り当てることができます。各ロールに含まれている CV の権限は次のとおりです。
ロール名 | CV 権限 | 説明 |
---|---|---|
roles/binaryauthorization.policyEditor |
binaryauthorization.continuousValidationConfig.update |
CV を有効または無効にします。 |
CV を有効にする
コンソール
Google Cloud コンソールを使用して CV を有効にするには、次の手順を行います。
Google Cloud コンソールで、Binary Authorization の [ポリシー] ページに移動します。
[ポリシー] タブをクリックします。
[ポリシーの編集] をクリックします。
[GKE と Anthos のデプロイ向けの追加設定] セクションを開きます。
[継続的検証を有効にする] チェックボックスをオンにします。
[ポリシーを保存] をクリックします。
REST API
REST API を使用して CV を有効にするには、次の手順を行います。
プロジェクト ID を保存します。
DEPLOYER_PROJECT_ID=DEPLOYER_PROJECT_ID
DEPLOYER_PROJECT_ID は、GKE を実行するプロジェクトの ID に置き換えます。
GCP 用の OAuth トークンを取得します。
BEARER_TOKEN=$(gcloud auth print-access-token)
トークンは短時間しか有効でありません。
CV を有効にします。
curl "https://binaryauthorization.googleapis.com/v1alpha2/projects/${DEPLOYER_PROJECT_ID}/continuousValidationConfig" -X PUT -H "authorization: Bearer $BEARER_TOKEN" -H "Content-Type: application/json" --data '{"enforcementPolicyConfig": {"enabled": "true"}}'
これで、イベントをログに記録するように CV を構成できました。
Logging のログエントリは次の例のようになります。
{
"insertId": "6054e143-0000-2562-aa64-883d24f57e70",
"jsonPayload": {
"@type": "type.googleapis.com/google.cloud.binaryauthorization.v1beta1.ContinuousValidationEvent",
"podEvent": {
"images": [
{
"description": "Image <var>IMAGE_NAME@IMAGE_DIGEST</var> denied by
attestor projects/<var>ATTESTOR_PROJECT_ID</var>/attestors/<var>ATTESTOR_NAME</var>:
No attestations found that were valid and signed by a key trusted by
the attestor",
"image": "<var>IMAGE_NAME@IMAGE_DIGEST</var>",
"result": "DENY"
}
],
"verdict": "VIOLATES_POLICY",
"deployTime": "2021-03-19T17:00:08Z",
"pod": "<var>POD_NAME</var>"
}
},
"resource": {
"type": "k8s_cluster",
"labels": {
"cluster_name": "<var>CLUSTER_NAME</var>",
"location": "<var>CLUSTER_LOCATION</var>",
"project_id": "<var>DEPLOYER_PROJECT_ID</var>"
}
},
"timestamp": "2021-03-19T17:15:43.872702342Z",
"severity": "WARNING",
"logName": "projects/<var>DEPLOYER_PROJECY_ID</var>/logs/binaryauthorization.googleapis.com%2Fcontinuous_validation",
"receiveTimestamp": "2021-03-19T17:57:00.432116179Z"
}
CV イベントのクエリを実行する方法については、Cloud Logging で CV イベントを表示するをご覧ください。
トラブルシューティング
CV は、Cloud Asset Inventory や Pub/Sub などの他の Google Cloud サービスを使用します。CV に失敗した場合は、Cloud Logging で Cloud Asset Inventory のエラーを確認できます。
また、CV は binauthz-cv-cai-feed
というフィード リソースを作成します。フィードを削除または変更すると、CV が失敗することがあります。CV は、欠落しているフィードや変更されたフィードを自動的に復元しますが、復元するまで検出結果が記録されない場合があります。
CV を無効にする
コンソール
Google Cloud コンソールを使用して CV を無効にするには、次の手順を行います。
Google Cloud コンソールで [Binary Authorization] ページに移動します。
[ポリシー] タブをクリックします。
[ポリシーの編集] をクリックします。
[継続的検証を有効にする] チェックボックスをオフにします。
[ポリシーを保存] をクリックします。
REST API
REST API を使用して CV を無効にするには、次の手順を行います。
プロジェクト ID を保存します。
DEPLOYER_PROJECT_ID=DEPLOYER_PROJECT_ID
DEPLOYER_PROJECT_ID は、GKE を実行するプロジェクトの ID に置き換えます。
GCP 用の OAuth トークンを取得します。
BEARER_TOKEN=$(gcloud auth print-access-token)
トークンは短時間しか有効でありません。
CV は、次のコマンドを使用して無効にします。
curl "https://binaryauthorization.googleapis.com/v1alpha2/projects/${DEPLOYER_PROJECT_ID}/continuousValidationConfig" -X PUT -H "authorization: Bearer $BEARER_TOKEN" -H "Content-Type: application/json" --data '{"enforcementPolicyConfig": {"enabled": "false"}}'
Cloud Logging で CV イベントを表示する
CV を有効にすると、Binary Authorization ポリシーに違反するすべての Pod が定期的に Cloud Logging に記録されます。
これらのログエントリには、次のログ名が含まれています。
logName:"binaryauthorization.googleapis.com%2Fcontinuous_validation"
ログ エクスプローラ
ログ エクスプローラを使用して Cloud Logging で CV イベントを表示するには、次の手順を行います。
Google Cloud のオペレーション スイートを有効にしたプロジェクト ID を選択します。
次のクエリを検索クエリボックスに入力します。
logName:"binaryauthorization.googleapis.com%2Fcontinuous_validation"
時間範囲セレクタで期間を選択します。
以前のログビューア
ログ エクスプローラを使用して Cloud Logging で CV イベントを表示するには、次の手順を行います。
[オプション] プルダウン メニューから [以前のログビューアに戻る] を選択します。
Google Cloud のオペレーション スイートを設定した Google Cloud プロジェクトを選択します。
次のクエリを検索クエリボックスに入力します。
logName:"binaryauthorization.googleapis.com%2Fcontinuous_validation"
時間範囲セレクタで期間を選択します。
gcloud
gcloud
を使用して Cloud Logging 内の過去 1 週間の CV イベントを表示するには、次のコマンドを実行します。
gcloud logging read --order="desc" --freshness=7d \
'logName:"binaryauthorization.googleapis.com%2Fcontinuous_validation"'
次のステップ
- ブレークグラスを使用して Pod をデプロイし、ブレークグラス イベントを表示する。
- ドライランを有効にしてコンテナ イメージをデプロイし、ドライラン イベントを表示する。