Configurer l'application de la stratégie d'autorisation binaire

L'autorisation binaire pour Google Distributed Cloud est une fonctionnalité Google Cloud qui étend l'application hébergée au moment du déploiement de l'autorisation binaire à vos clusters sur site. L'utilisation principale de l'autorisation binaire sur Google Distributed Cloud est de sécuriser les charges de travail, mais elle fonctionne avec tous les types de clusters. Suivez les étapes de ce guide pour appliquer les règles d'application d'une stratégie d'autorisation binaire configurée dans votre projet Google Cloud à vos clusters. Pour en savoir plus sur les règles et les stratégies d'autorisation binaire, consultez la présentation de l'autorisation binaire.

Remarque : Si vous avez activé l'autorisation binaire pour Google Distributed Cloud (Aperçu), désactivez-la et nettoyez les ressources avant d'activer la fonctionnalité DG. Suivez les instructions de ce document pour activer la fonctionnalité DG sur les clusters de la version 1.16.0 ou ultérieure.

Prérequis

Avant de pouvoir activer l'application de la règle d'autorisation binaire pour un cluster d'utilisateur, assurez-vous de remplir les critères préalables suivants :

• Enregistrer le cluster avec un parc : pour un cluster créé avec bmctl, le cluster est enregistré dans le projet Google Cloud que vous spécifiez dans le champ gkeConnect.projectID du fichier de configuration du cluster. Ce projet est appelé projet hôte du parc. Pour en savoir plus sur les parcs, y compris sur les cas d'utilisation, les bonnes pratiques et obtenir des exemples, consultez la documentation sur la gestion de parc.

• Activez l'API Binary Authorization dans votre projet Google Cloud  : activez l'autorisation binaire Authorization dans votre projet hôte de parc.

• Ajoutez le rôle d'évaluateur de la stratégie d'autorisation binaire à votre projet hôte de parc : pour attribuer le rôle d'évaluateur de la stratégie d'autorisation binaire (roles/binaryauthorization.policyEvaluator) au compte de service Kubernetes sur votre projet hôte du parc, exécutez la commande suivante :

  gcloud projects add-iam-policy-binding PROJECT_ID \
      --member="serviceAccount:PROJECT_ID.svc.id.goog[binauthz-system/binauthz-agent]" \
      --role="roles/binaryauthorization.policyEvaluator"
  

  Si votre cluster s'exécute derrière un serveur proxy, assurez-vous que ce serveur autorise les connexions à l'API Binary Authorization (binaryauthorization.googleapis.com). Cette API fournit une validation et un contrôle du déploiement basés sur des règles pour les images déployées sur votre cluster. Pour en savoir plus sur l'utilisation d'une configuration de proxy, consultez Installer derrière un proxy.

Une fois les prérequis remplis, vous pouvez activer (ou désactiver) la règle d'autorisation binaire lorsque vous créez un cluster ou mettez à jour un cluster existant.

Activer la règle d'autorisation binaire lors de la création du cluster

Vous pouvez activer l'application de la stratégie d'autorisation binaire avec bmctl ou gcloud CLI.

bmctl

Pour activer l'autorisation binaire lorsque vous créez un cluster avec bmctl, procédez comme suit :

1. Avant de créer votre cluster, ajoutez spec.binaryAuthorization.evaluationMode au fichier de configuration du cluster, comme indiqué dans l'exemple suivant :

   ...
   ---
   apiVersion: baremetal.cluster.gke.io/v1
   kind: Cluster
   metadata:
     name: user-basic
     namespace: cluster-user-basic
   spec:
     type: user
     ...
     binaryAuthorization:
       evaluationMode: "PROJECT_SINGLETON_POLICY_ENFORCE"
   

   Les valeurs autorisées pour evaluationMode sont les suivantes :

   • PROJECT_SINGLETON_POLICY_ENFORCE : appliquez les règles spécifiées dans la stratégie d'autorisation binaire, également appelée règle Singleton de projet, sur votre projet Google Cloud afin de régir le déploiement des images de conteneurs sur votre cluster.

   • DISABLE : désactivez l'utilisation de l'autorisation binaire pour votre cluster. Il s'agit de la valeur par défaut. Si vous omettez binaryAuthorization, la fonctionnalité est désactivée.

2. Apportez les autres modifications nécessaires dans le fichier de configuration du cluster, puis exécutez la commande bmctl create cluster.

Pour en savoir plus sur la création de clusters, consultez la page Présentation de la création de clusters.

CLI gcloud

Preview

Ce produit ou cette fonctionnalité sont soumis aux "Conditions des offres de pré-DG" de la section "Conditions générales du service" des Conditions spécifiques du service. Les produits et fonctionnalités de pré-DG sont proposés "en l'état" et peuvent avoir une prise en charge limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

• Pour créer un cluster d'utilisateur et activer l'autorisation binaire, ajoutez l'indicateur --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE lorsque vous exécutez la commande gcloud container bare-metal clusters create.

  Cela crée un cluster d'utilisateur qui applique les règles spécifiées dans la règle d'autorisation binaire, également appelée règle Singleton de projet. Cette stratégie est associée à votre projet Google Cloud et spécifie des règles régissant le déploiement des images de conteneur. Pour en savoir plus sur l'utilisation de gcloud CLI pour créer un cluster d'utilisateur, consultez Créer un cluster d'utilisateur à l'aide de clients d'API GKE On-Prem. Pour en savoir plus sur les règles et les stratégies d'autorisation binaire, consultez la présentation de l'autorisation binaire.

Activer ou désactiver la règle d'autorisation binaire pour un cluster existant

Si vous disposez d'un cluster de version 1.16 ou ultérieure, vous pouvez activer ou désactiver l'autorisation binaire à tout moment à l'aide de bmctl ou de gcloud CLI.

bmctl

• Pour activer :

  1. Modifiez le fichier de configuration du cluster pour ajouter les champs binaryAuthorization :

     ...
     ---
     apiVersion: baremetal.cluster.gke.io/v1
     kind: Cluster
     metadata:
       name: user-basic
       namespace: cluster-user-basic
     spec:
       type: user
       ...
       binaryAuthorization:
         evaluationMode: "PROJECT_SINGLETON_POLICY_ENFORCE"
     

  2. Mettez à jour le cluster :

     bmctl update cluster -c CLUSTER_NAME --admin-kubeconfig=CLUSTER_KUBECONFIG
     

     Remplacez les éléments suivants :

     • CLUSTER_NAME : nom du cluster à mettre à jour.
     • CLUSTER_KUBECONFIG: chemin d'accès au fichier kubeconfig du cluster.

  3. Attendez que le déploiement nommé binauthz-module-deployment dans l'espace de noms binauthz-system soit prêt.

     Lorsque le déploiement est prêt, l'autorisation binaire applique les règles spécifiées dans la stratégie d'autorisation binaire, également appelée stratégie Singleton de projet. Cette stratégie est associée à votre projetGoogle Cloud et spécifie des règles régissant le déploiement des images de conteneurs. Pour en savoir plus sur l'utilisation de bmctl pour mettre à jour un cluster, consultez Mettre à jour des clusters. Pour en savoir plus sur les règles et les stratégies d'autorisation binaire, consultez la présentation de l'autorisation binaire.

• Pour la désactiver :

  Vous pouvez désactiver cette fonctionnalité en définissant evaluationMode sur DISABLED ou en supprimant la section binaryAuthorization de la spécification du cluster. Une fois cette modification effectuée, patientez quelques minutes jusqu'à ce que le déploiement nommé binauthz-module-deployment dans l'espace de noms binauthz-system soit supprimé.

CLI gcloud

Preview

Ce produit ou cette fonctionnalité sont soumis aux "Conditions des offres de pré-DG" de la section "Conditions générales du service" des Conditions spécifiques du service. Les produits et fonctionnalités de pré-DG sont proposés "en l'état" et peuvent avoir une prise en charge limitée. Pour en savoir plus, consultez les descriptions des étapes de lancement.

• Pour activer l'autorisation binaire pour un cluster existant, ajoutez l'indicateur --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE lorsque vous exécutez la commande gcloud container bare-metal clusters update.

  Cela met à jour un cluster d'utilisateur afin que l'autorisation binaire applique les règles spécifiées dans la règle d'autorisation binaire, également appelée règle Singleton de projet. Cette règle est associée à votre projetGoogle Cloud et spécifie les règles régissant le déploiement des images de conteneurs. Pour en savoir plus sur l'utilisation de gcloud CLI pour mettre à jour un cluster d'utilisateur, consultez la page Mise à jour des clusters bare metal pour les conteneurs gcloud dans la documentation de référence de gcloud CLI. Pour en savoir plus sur les règles et les stratégies d'autorisation binaire, consultez la présentation de l'autorisation binaire.

• Pour désactiver l'autorisation binaire pour un cluster existant, exécutez la commande gcloud container bare-metal clusters update avec l'option --binauthz-evaluation-mode=DISABLED.

Dépannage

Si vous ne remplissez pas toutes les conditions préalables, il est possible que vous ne voyiez aucun signe précoce de problème. Si l'autorisation binaire ne répond plus aux demandes de création de pods, vérifiez status.conditions pour le ReplicaSet. Un message semblable à celui-ci indique un problème de configuration de l'autorisation binaire :

failed to validate Binary Authorization policy

(1) Ensure the Binary Authorization API is enabled for your Google Cloud project:
    gcloud services enable binaryauthorization.googleapis.com --project=PROJECT_ID
(2) Ensure an IAM policy binding is in place granting binaryauthorization.policyEvaluator role to the binauthz-system/binauthz-agent Kubernetes service account:
    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member="serviceAccount:PROJECT_ID.svc.id.goog[binauthz-system/binauthz-agent]" \
        --role=roles/binaryauthorization.policyEvaluator