Binary Authorization の有効化

GKE 接続クラスタで Binary Authorization を有効にするには、次の操作を行います。

  1. プロジェクトで Binary Authorization API を有効にします。

    gcloud services enable binaryauthorization.googleapis.com \
          --project=PROJECT_ID

    PROJECT_ID は、Google Cloud プロジェクトの ID に置き換えます。

  2. Binary Authorization エージェントに関連付けられた Kubernetes サービス アカウントに binaryauthorization.policyEvaluator ロールを付与します。

    gcloud projects add-iam-policy-binding PROJECT_ID \
          --member=serviceAccount:PROJECT_ID.svc.id.goog[gke-system/binauthz-agent] \
          --role="roles/binaryauthorization.policyEvaluator"

  3. クラスタを登録または更新するときに Binary Authorization を有効にします。

    クラスタを登録するクラスタを更新する

    クラスタの登録時に Binary Authorization を有効にするには、gcloud container attached clusters register コマンドを使用します。EKS クラスタを接続するの手順に沿って、オプションの引数 --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE を指定します。

    gcloud container attached clusters register CLUSTER_NAME \
          ...
          --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE

    CLUSTER_NAME は、使用するクラスタの名前に置き換えます。

    クラスタの更新時に Binary Authorization を有効にするには、gcloud container attached clusters update コマンドを使用します。EKS クラスタを更新するの手順に沿って、オプションの引数 --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE を指定します。

    gcloud container attached clusters update CLUSTER_NAME \
          ...
          --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE

    CLUSTER_NAME は、使用するクラスタの名前に置き換えます。

これらの操作を行うことで、信頼できる検証済みのイメージのみが GKE クラスタで Kubernetes コンテナの作成に使用されるようになります。これにより、アプリケーションにとって安全な環境を維持できます。