Ativar autorização binária

Observação: a partir da versão 1.28 do Google Kubernetes Engine (GKE) Enterprise, a vinculação manual de políticas para autorizar a conta de serviço para autorização binária não é mais necessária. As permissões necessárias agora são concedidas automaticamente a essa conta de serviço. Portanto, desconsidere a etapa 2 nas instruções a seguir.

Para ativar a autorização binária para clusters anexados do GKE, siga estas etapas:

1. Ative a API Binary Authorization no projeto:

   gcloud services enable binaryauthorization.googleapis.com \
     --project=PROJECT_ID
   

   Substitua PROJECT_ID pelo ID do projeto do Google Cloud.

2. Conceda o papel binaryauthorization.policyEvaluator à conta de serviço do Kubernetes associada ao agente da Autorização binária:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member=serviceAccount:PROJECT_ID.svc.id.goog[gke-system/binauthz-agent] \
     --role="roles/binaryauthorization.policyEvaluator"
   

3. Ative a Autorização binária ao registrar ou atualizar um cluster.

   Registrar um cluster

   Para ativar a autorização binária ao registrar um cluster, use o comando gcloud container attached clusters register. Siga as instruções em anexe o cluster do AKS e inclua o argumento opcional --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE:

   gcloud container attached clusters register CLUSTER_NAME \
     ...
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Substitua CLUSTER_NAME pelo nome do cluster.

   Atualize um cluster

   Para ativar a autorização binária ao atualizar um cluster, use o comando gcloud container attached clusters update. Siga as instruções em atualize o cluster do AKS, e inclua o argumento opcional --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE:

   gcloud container attached clusters update CLUSTER_NAME \
     ...
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Substitua CLUSTER_NAME pelo nome do cluster.

Siga estas etapas para garantir que apenas imagens confiáveis e verificadas sejam usadas para criar contêineres do Kubernetes nos clusters do GKE. ajudando a manter um ambiente seguro para os aplicativos.