Activer l'autorisation binaire

Remarque : À partir de la version 1.28 de Google Kubernetes Engine (GKE) Enterprise, la liaison manuelle des règles pour autoriser le compte de service pour l'autorisation binaire n'est plus nécessaire. Les autorisations requises sont désormais automatiquement accordées à ce compte de service. Vous pouvez donc ignorer l'étape 2 des instructions suivantes.

Pour activer l'autorisation binaire pour les clusters associés à GKE, procédez comme suit :

1. Activez l'API Binary Authorization dans votre projet :

   gcloud services enable binaryauthorization.googleapis.com \
     --project=PROJECT_ID
   

   Remplacez PROJECT_ID par l'ID de votre projet Google Cloud.

2. Attribuez le rôle binaryauthorization.policyEvaluator au compte de service Kubernetes associé à l'agent d'autorisation binaire :

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member=serviceAccount:PROJECT_ID.svc.id.goog[gke-system/binauthz-agent] \
     --role="roles/binaryauthorization.policyEvaluator"
   

3. Activez l'autorisation binaire lors de l'enregistrement ou de la mise à jour d'un cluster.

   Enregistrer un cluster

   Pour activer l'autorisation binaire lors de l'enregistrement d'un cluster, utilisez la commande gcloud container attached clusters register Suivez les instructions de la section Associer un cluster conforme à CNCF et incluez l'argument facultatif --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE :

   gcloud container attached clusters register CLUSTER_NAME \
     ...
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Remplacez CLUSTER_NAME par le nom de votre cluster.

   Mettre à jour un cluster

   Pour activer l'autorisation binaire lors de la mise à jour d'un cluster, utilisez la commande gcloud container attached clusters update. Suivez les instructions de la section Mettre à jour votre cluster conforme à CNCF et incluez l'argument facultatif --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE :

   gcloud container attached clusters update CLUSTER_NAME \
     ...
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Remplacez CLUSTER_NAME par le nom de votre cluster.

En suivant ces étapes, vous vous assurez que seules les images fiables et validées sont utilisées pour créer des conteneurs Kubernetes dans vos clusters GKE. Cela permet de maintenir un environnement sécurisé pour vos applications.