Utiliser le mode "bris de glace" (Cloud Run)

Cette page vous explique comment utiliser le mode "bris de glace" pour déployer ou diffuser une image sur Cloud Run lorsqu'elle ne respecte pas la stratégie d'autorisation binaire.

Remarque : Lorsque vous utilisez le mode "bris de glace" pour déployer une image, un événement de type "bris de glace" est automatiquement consigné dans Cloud Audit Logs, que le déploiement soit conforme ou non à la stratégie. Vous pouvez utiliser Cloud Audit Logs pour afficher les événements de type "bris de glace" et déclencher d'autres actions.

Avant de commencer, configurez l'autorisation binaire pour Cloud Run, et déployez ou diffusez une image.

Pour utiliser le mode "bris de glace", procédez comme suit :

Console

En cas de tentative de déploiement ou de diffusion d'une image qui ne respecte pas la stratégie d'autorisation binaire, Cloud Run affiche une erreur avec un bouton bris de glace.

Pour contourner l'application de l'autorisation binaire et déployer ou diffuser un conteneur qui ne respecte pas la stratégie, procédez comme suit :

1. Accédez à la page "Services Cloud Run" de la console Google Cloud .

   Accéder à la page "Services Cloud Run"

2. Cliquez sur le nom du service pour lequel vous souhaitez utiliser le mode "bris de glace".

3. Cliquez sur le bouton Bris de glace. Dans la boîte de dialogue qui apparaît, procédez comme suit :

   1. Saisissez une justification du mode "bris de glace".

      Remarque : L'utilisation du mode "bris de glace" crée une entrée de journal contenant la justification du mode "bris de glace".

   2. Pour contourner la règle et déployer l'image, cliquez sur le bouton Bris de glace.

gcloud

Pour contourner l'application de l'autorisation binaire et déployer ou diffuser un conteneur qui ne respecte pas la stratégie, saisissez la commande suivante :

  gcloud run services update SERVICE_NAME --breakglass=JUSTIFICATION
  

Remplacez JUSTIFICATION par une justification pour l'utilisation du mode "bris de glace".

Vous pouvez désormais afficher les événements de type "bris de glace" dans Cloud Audit Logs.

Avertissement : Si vous modifiez directement la configuration YAML du service Cloud Run pour ajouter l'annotation run.googleapis.com/binary-authorization-breakglass: 'JUSTIFICATION', cela peut entraîner le contournement de l'application de l'autorisation binaire pour tous les déploiements ultérieurs et l'utilisation de la procédure d'urgence avec la justification fournie.

Étapes suivantes

• Afficher les événements d'autorisation binaire dans Cloud Audit Logs.
• Configurez la règle d'autorisation binaire à l'aide de la console Google Cloud ou de l'outil de ligne de commande.
• Utilisez des attestations pour ne déployer que des images de conteneurs signées.