Comment activer l'autorisation binaire

Remarque : À partir de la version 1.28 de GKE sur AWS, la liaison manuelle de stratégie pour autoriser le compte de service pour l'autorisation binaire n'est plus nécessaire. Les autorisations requises sont désormais automatiquement accordées à ce compte de service. Vous pouvez donc ignorer l'étape 2 des instructions suivantes.

Pour activer l'autorisation binaire pour GKE sur AWS, procédez comme suit :

1. Activez l'API Binary Authorization dans votre projet :

   gcloud services enable binaryauthorization.googleapis.com \
     --project=PROJECT_ID
   

   Remplacez PROJECT_ID par l'ID de votre projet Google Cloud.

2. Attribuez le rôle binaryauthorization.policyEvaluator au compte de service Kubernetes associé à l'agent d'autorisation binaire :

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member=serviceAccount:PROJECT_ID.svc.id.goog[gke-system/binauthz-agent] \
     --role="roles/binaryauthorization.policyEvaluator"
   

3. Activez l'autorisation binaire lors de la création ou de la mise à jour d'un cluster. Assurez-vous d'indiquer l'indicateur --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE car cet indicateur active l'autorisation binaire:

   Créer un cluster

   gcloud container aws clusters create CLUSTER_NAME \
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Remplacez CLUSTER_NAME par le nom de votre cluster.

   Mettre à jour un cluster

   gcloud container aws clusters update CLUSTER_NAME \
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Remplacez CLUSTER_NAME par le nom de votre cluster.

En suivant ces étapes, vous vous assurez que seules les images fiables et validées sont utilisées pour créer des conteneurs Kubernetes dans vos clusters GKE. Cela permet de maintenir un environnement sécurisé pour vos applications.