Attivare la modalità di prova

Nota: questo documento o questa sezione include riferimenti a uno o più termini che Google considera irrispettosi o offensivi. I termini vengono utilizzati perché sono parole chiave nel software descritto nel documento.

I termini: whitelist

Questo documento spiega come attivare la modalità di prova.

Quando attivi la modalità di prova, l'autorizzazione binaria consente il deployment di tutte le immagini container, anche se queste immagini violano la policy di autorizzazione binaria. I messaggi di stato di conformità alle policy vengono registrati in Cloud Audit Logs. Puoi controllare il log per determinare se le immagini sarebbero state vietate e intraprendere azioni correttive. Quando la configurazione della policy funziona come previsto, puoi disattivare la modalità di prova per attivare l'applicazione dell'autorizzazione binaria; il deployment delle immagini che violano la policy non è consentito.

Puoi impostare la modalità di prova nella regola predefinita o in una regola specifica.

Prima di iniziare

Per utilizzare la modalità di prova, configura l'autorizzazione binaria per la tua piattaforma.

Attivare la modalità di prova

Attenzione: l'attivazione della modalità di prova nella regola di ammissione predefinita, come mostrato, consente il deployment di tutte le immagini container, anche se violano la policy di deployment.

Per attivare la modalità di prova:

Console

1. Vai alla pagina Autorizzazione binaria nella Google Cloud console.

   Vai ad Autorizzazione binaria.

2. Fai clic su Modifica policy.

3. In Regola predefinita o in una regola specifica, seleziona Modalità di prova.

   Nota: per dimostrare la modalità di prova, puoi anche impostare la regola su Non consentire tutte le immagini. Con questa impostazione, tutte le immagini violano la policy, il deployment non è consentito e le violazioni vengono registrate.

4. Fai clic su Salva policy.

gcloud

1. Esporta la policy di autorizzazione binaria in un file YAML:

   gcloud container binauthz policy export  > /tmp/policy.yaml
   

2. In un editor di testo, imposta enforcementMode su DRYRUN_AUDIT_LOG_ONLY e salva il file.

   Nota: per dimostrare la modalità di prova, puoi impostare evaluationMode su ALWAYS_DENY. Con questa impostazione, tutte le immagini violano la policy, il deployment non è consentito e le violazioni vengono registrate.

3. Per aggiornare la policy, importa il file eseguendo il seguente comando:

   gcloud container binauthz policy import /tmp/policy.yaml
   

Nota: l'applicazione della policy può richiedere alcuni minuti.

Per testare la modalità di prova, esegui il deployment delle immagini che violano la policy e poi visualizza gli eventi della modalità di prova da Autorizzazione binaria per GKE, Cloud Run, o Google Distributed Cloud.

Disattivare la modalità di prova

Per disattivare la modalità di prova, aggiorna la policy come segue:

Console

1. Vai alla pagina Autorizzazione binaria nella Google Cloud console.

   Vai ad Autorizzazione binaria.

2. Fai clic su Modifica policy.

3. In Regola predefinita o in una regola specifica, deseleziona Modalità di prova.

4. Fai clic su Salva policy.

gcloud

1. Esporta la policy di autorizzazione binaria:

   gcloud container binauthz policy export  > /tmp/policy.yaml
   

2. In un editor di testo, imposta enforcementMode su ENFORCED_BLOCK_AND_AUDIT_LOG e salva il file.

3. Per aggiornare la policy, importa il file eseguendo il seguente comando:

   gcloud container binauthz policy import /tmp/policy.yaml
   

Nota: l'applicazione della policy può richiedere alcuni minuti.

Passaggi successivi

• Visualizza gli eventi della modalità di prova da Autorizzazione binaria per GKE in Cloud Audit Logs.
• Visualizza gli eventi della modalità di prova da Autorizzazione binaria per Cloud Run in Cloud Audit Logs.
• Visualizza gli eventi della modalità di prova da Autorizzazione binaria per Distributed Cloud in Cloud Audit Logs.