Mengonfigurasi kebijakan Otorisasi Biner dengan Cloud Run

Mengonfigurasi kebijakan Otorisasi Biner dengan Cloud Run

Panduan memulai ini menunjukkan cara mengonfigurasi dan menguji aturan dasar dalam kebijakan Otorisasi Biner dengan Cloud Run.

Dalam panduan memulai ini, Anda akan menggunakan Otorisasi Biner untuk mengontrol deployment layanan Cloud Run.

Sebelum memulai

Sign in to your Google Cloud account. If you're new to Google Cloud, create an account to evaluate how our products perform in real-world scenarios. New customers also get $300 in free credits to run, test, and deploy workloads.

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Cloud Run, Artifact Registry, Binary Authorization APIs.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Jika Anda menggunakan penyedia identitas (IdP) eksternal, Anda harus login ke gcloud CLI dengan identitas gabungan Anda terlebih dahulu.

Untuk melakukan inisialisasi gcloud CLI, jalankan perintah berikut:

gcloud init

In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

Roles required to select or create a project

• Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
• Create a project: To create a project, you need the Project Creator (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.

Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

Go to project selector

Verify that billing is enabled for your Google Cloud project.

Enable the Cloud Run, Artifact Registry, Binary Authorization APIs.

Roles required to enable APIs

To enable APIs, you need the Service Usage Admin IAM role (roles/serviceusage.serviceUsageAdmin), which contains the serviceusage.services.enable permission. Learn how to grant roles.

Enable the APIs

Install the Google Cloud CLI.

Jika Anda menggunakan penyedia identitas (IdP) eksternal, Anda harus login ke gcloud CLI dengan identitas gabungan Anda terlebih dahulu.

Untuk melakukan inisialisasi gcloud CLI, jalankan perintah berikut:

gcloud init

Membuat layanan dengan Otorisasi Biner diaktifkan

Untuk membuat layanan Cloud Run dengan Otorisasi Biner diaktifkan, lakukan hal berikut:

1. Buka Cloud Run

2. Klik Buat layanan untuk menampilkan formulir Buat layanan:

   

   Dalam formulir yang ditampilkan, lakukan hal berikut:

   1. Pilih Cloud Run sebagai platform pengembangan Anda.
   2. Pilih wilayah tempat Anda ingin layanan berada.
   3. Tentukan nama yang ingin Anda berikan ke layanan Anda—misalnya, test-service.

   4. Klik Next untuk melanjutkan ke halaman Configure the service's first revision.

      Dalam formulir, lakukan hal berikut:

      1. Pilih Men-deploy satu revisi dari image container yang sudah ada.

      2. Gunakan us-docker.pkg.dev/cloudrun/container/hello sebagai image container.

         Catatan: Nama gambar contoh digunakan untuk tujuan demonstrasi. Sebaiknya gunakan Otorisasi Biner untuk men-deploy hanya image yang Anda kelola.

      3. Luaskan bagian Setelan lanjutan.

      4. Klik tab Keamanan.

      5. Centang kotak Verifikasi deployment container dengan Otorisasi Biner:

         

         Catatan: Jika kebijakan organisasi Anda memerlukan Binary Authorization untuk Cloud Run, kotak centang akan dinonaktifkan.

         Secara default, kebijakan Otorisasi Biner mengizinkan semua image untuk di-deploy.

      6. Klik Berikutnya untuk melanjutkan ke halaman Konfigurasi cara layanan ini dipicu:

         

      7. Pilih Izinkan akses publik agar dapat membuka hasil di browser web Anda

      8. Klik Create untuk men-deploy image ke Cloud Run dan tunggu hingga deployment selesai.

      Layanan Anda di-deploy. Revisi tunduk pada penegakan kebijakan Otorisasi Biner.

Perbarui kebijakan Otorisasi Biner untuk melarang semua image

Kebijakan Otorisasi Biner berisi aturan default. Aturan ini mengatur deployment layanan Cloud Run yang baru saja Anda buat.

Secara default, aturan ini mengizinkan semua image container di-deploy.

Untuk melihat kebijakan default, lakukan hal berikut:

1. Buka Otorisasi Biner

   

2. Klik Edit Kebijakan.

3. Di Project Default Rule, perhatikan bahwa opsi Allow All Images dipilih.

   

Sekarang, ubah kebijakan untuk memblokir semua gambar agar tidak di-deploy, dengan melakukan hal berikut:

1. Buka halaman Binary Authorization di konsol Google Cloud .

   Buka Otorisasi Biner

2. Klik Edit Kebijakan.

3. Di Aturan default, pilih Jangan Izinkan Semua Gambar.

   

4. Klik Simpan Kebijakan.

Catatan: Perlu waktu beberapa menit agar kebijakan diterapkan.

Men-deploy ulang layanan

Uji kebijakan yang diperbarui dengan men-deploy revisi baru.

Untuk men-deploy image, lakukan hal berikut:

1. Buka Cloud Run

2. Klik nama layanan yang Anda deploy sebelumnya dalam panduan ini.

3. Klik Edit dan deploy revisi baru.

4. Klik Deploy.

Anda akan melihat pesan error yang mirip dengan berikut ini:

Service update rejected by Binary Authorization policy: Revision
REVISION uses unauthorized container image. Container image 'us-docker.pkg.dev/cloudrun/container/hello@SHA' is not authorized by policy. Denied by an ALWAYS_DENY admission rule

Mereset kebijakan untuk mengizinkan semua gambar

Untuk mereset kebijakan agar mengizinkan semua gambar, lakukan hal berikut:

1. Buka halaman Binary Authorization di konsol Google Cloud .

   Buka Otorisasi Biner

2. Klik Edit Kebijakan.

3. Pilih Izinkan Semua Gambar.

4. Untuk menyimpan kebijakan, klik Simpan Kebijakan.

Anda kini dapat men-deploy gambar.

Pembersihan

Agar akun Google Cloud Anda tidak dikenai biaya untuk resource yang digunakan pada halaman ini, ikuti langkah-langkah berikut.

Untuk menghapus layanan yang Anda buat di Cloud Run, lakukan hal berikut:

1. Buka Cloud Run

2. Temukan layanan yang ingin Anda hapus dalam daftar layanan, lalu klik kotak centang layanan tersebut untuk memilihnya.

3. Klik Hapus. Tindakan ini akan menghapus semua revisi layanan.

Untuk menonaktifkan Otorisasi Biner, lihat Menonaktifkan Otorisasi Biner.

Langkah berikutnya

• Gunakan breakglass untuk melewati penerapan Otorisasi Biner.

• Gunakan pengesah built-by-cloud-build untuk men-deploy hanya image yang dibuat oleh Cloud Build.

• Menggunakan pengesahan.

• Konfigurasi kebijakan Otorisasi Biner menggunakan konsolGoogle Cloud atau alat command line.

• Lihat peristiwa Otorisasi Biner untuk Cloud Run di Cloud Audit Logs.