Dokumen ini menjelaskan Otorisasi Biner untuk cluster lokal yang dibuat sebagai bagian dari Google Distributed Cloud. Untuk mengonfigurasi Otorisasi Biner untuk cluster Anda, lihat bagian berikut:
- Menyiapkan penerapan kebijakan Otorisasi Biner di VMware (versi 1.28 atau yang lebih baru)
- Menyiapkan penerapan kebijakan Otorisasi Biner di bare metal (versi 1.16 atau yang lebih baru)
- Penyiapan manual lama untuk cluster lokal (tidak digunakan lagi)
Otorisasi Biner untuk cluster lokal adalah produk Google Cloud yang memperluas penerapan waktu deployment yang dihosting dari Otorisasi Biner ke Google Distributed Cloud.
Arsitektur
Otorisasi Biner untuk cluster on-premise menghubungkan cluster ke penguat Otorisasi Biner, yang berjalan di Google Cloud. Cara kerjanya adalah dengan meneruskan permintaan untuk menjalankan image container dari cluster lokal ke Binary Authorization Enforcement API.
Otorisasi Biner menginstal Modul Otorisasi Biner, yang berjalan sebagai webhook penerimaan validasi Kubernetes di cluster Anda.
Saat server Kubernetes API untuk cluster memproses permintaan untuk menjalankan Pod, server tersebut akan mengirimkan permintaan penerimaan, melalui bidang kontrol, ke Modul Otorisasi Biner.
Kemudian, modul meneruskan permintaan penerimaan ke API Otorisasi Biner yang dihosting.
Di Google Cloud, API menerima permintaan dan meneruskannya ke Binary Authorization enforcer. Kemudian, penegak akan memeriksa apakah permintaan tersebut memenuhi kebijakan Otorisasi Biner. Jika ya, Binary Authorization API akan menampilkan respons "izinkan". Jika tidak, API akan menampilkan respons "reject".
Di lokal, Modul Otorisasi Biner menerima respons. Jika Modul Otorisasi Biner dan semua webhook penerimaan lainnya mengizinkan permintaan deployment, image container diizinkan untuk di-deploy.
Untuk mengetahui informasi selengkapnya tentang cara memvalidasi webhook penerimaan, lihat Menggunakan Pengontrol Penerimaan.
Kebijakan kegagalan webhook
Jika kegagalan mencegah komunikasi dengan Otorisasi Biner, kebijakan kegagalan khusus webhook akan menentukan apakah container diizinkan untuk di-deploy. Mengonfigurasi kebijakan kegagalan untuk mengizinkan image container di-deploy dikenal sebagai fail open. Mengonfigurasi kebijakan kegagalan untuk menolak image container agar tidak di-deploy dikenal sebagai penutupan gagal.
Untuk mengonfigurasi Modul Otorisasi Biner untuk fail close, ubah file
manifest.yaml dan ubah failurePolicy dari
Ignore menjadi Fail, lalu deploy file manifes.
Anda dapat memperbarui kebijakan kegagalan di Modul Otorisasi Biner.
Langkah berikutnya
- Untuk mengonfigurasi Otorisasi Biner di VMware, lihat Menyiapkan penerapan kebijakan Otorisasi Biner di VMware.
- Untuk mengonfigurasi Otorisasi Biner di bare metal, lihat Menyiapkan penerapan kebijakan Otorisasi Biner di bare metal.
- Untuk penginstalan manual lama, lihat Menyiapkan cluster lokal (tidak digunakan lagi).
- Untuk mempelajari lebih lanjut Google Distributed Cloud, lihat Ringkasan Google Distributed Cloud.
- Untuk mempelajari lebih lanjut Otorisasi Biner, lihat Ringkasan Otorisasi Biner.