Usar implantação forçada (Cloud Run)

Nesta página, mostramos como usar a implantação forçada para implantar ou exibir uma imagem no Cloud Run quando a imagem viola a política de autorização binária.

Observação: quando você usa a implantação forçada para implantar uma imagem, um evento de implantação forçada é registrado automaticamente nos Registros de auditoria do Cloud, independentemente da implantação satisfazer ou violar a política. Use os Registros de auditoria do Cloud para ver eventos de implantação forçada e acionar outras ações.

Antes de começar, configure a autorização binária para o Cloud Run e implante ou exiba uma imagem.

Para usar a implantação forçada, siga estas etapas.

Console

Quando houver uma tentativa de implantar ou exibir uma imagem que viola a política de autorização binária, o Cloud Run exibirá um erro junto com um botão Implantação forçada.

Para ignorar a aplicação da autorização binária e implantar ou disponibilizar um contêiner que viole a política, faça o seguinte:

1. Acesse a página "Serviços do Cloud Run" no Google Cloud console do Cloud.

   Acesse Serviços do Cloud Run

2. Clique no nome do serviço em que você quer usar a implantação forçada.

3. Clique no botão Implantação forçada. Na caixa de diálogo exibida:

   1. Digite uma justificativa de implantação forçada.

      Observação: usar a implantação forçada cria uma entrada de registro que contém a justificativa de implantação forçada.

   2. Para ignorar a política e implantar a imagem, clique no botão Implantação forçada.

gcloud

Para ignorar a aplicação da autorização binária e implantar ou exibir um contêiner que viole a política, digite o seguinte comando:

  gcloud run services update SERVICE_NAME --breakglass=JUSTIFICATION
  

Substitua JUSTIFICATION por uma justificativa para usar a implantação forçada.

Agora é possível ver eventos de implantação forçada nos registros de auditoria do Cloud.

Aviso: se você editar a configuração YAML do serviço do Cloud Run diretamente para adicionar a anotação run.googleapis.com/binary-authorization-breakglass: 'JUSTIFICATION', isso poderá fazer com que todas as implantações subsequentes ignorem a aplicação da autorização binária e usem a implantação forçada com a justificativa fornecida.

A seguir

• Ver os eventos de autorização binária nos registros de auditoria do Cloud.
• Configurar a política de autorização binária usando o Google Cloud Console do Cloud ou a ferramenta de linha de comando
• Use atestados para implantar somente imagens de contêiner assinadas.