Break-Glass verwenden (Cloud Run)

Auf dieser Seite erfahren Sie, wie Sie mithilfe von Break-Glass ein Image in Cloud Run bereitstellen, wenn es gegen die Richtlinie zur Binärautorisierung verstößt.

Hinweis: Wenn Sie zum Bereitstellen eines Images Break-Glass verwenden, wird automatisch ein Ausnahmezugriffsereignis in Cloud-Audit-Logs protokolliert, unabhängig davon, ob die Bereitstellung die Richtlinie erfüllt oder verletzt. Mit Cloud-Audit-Logs können Sie Break-Glass-Ereignisse aufrufen und andere Aktionen auslösen.

Bevor Sie beginnen, müssen Sie die Binärautorisierung für Cloud Run einrichten und ein Image bereitstellen.

So verwenden Sie Break-Glass.

Console

Wenn versucht wird, ein Image bereitzustellen, das gegen die Richtlinie zur Binärautorisierung verstößt, zeigt Cloud Run einen Fehler sowie den Button Break-Glass an.

So umgehen Sie die Erzwingung der Binärautorisierung und stellen einen Container bereit, der gegen die Richtlinie verstößt:

1. Wechseln Sie in der Google Cloud Console zur Seite „Cloud Run-Dienste“.

   Zu den Cloud Run-Diensten

2. Klicken Sie auf den Namen des Dienstes, für den Sie Break-Glass verwenden möchten.

3. Klicken Sie auf den Button Break-Glass. Führen Sie im angezeigten Dialogfeld die folgenden Schritte aus:

   1. Geben Sie eine Begründung für Break-Glass ein.

      Hinweis: Durch die Verwendung von Break-Glass wird ein Logeintrag erstellt, der die Begründung für Break-Glass enthält.

   2. Wenn Sie die Richtlinie umgehen und das Image bereitstellen möchten, klicken Sie auf den Button Break-Glass.

gcloud

Geben Sie den folgenden Befehl ein, um die Erzwingung der Binärautorisierung zu umgehen und einen Container bereitzustellen, der gegen die Richtlinie verstößt:

  gcloud run services update SERVICE_NAME --breakglass=JUSTIFICATION
  

Ersetzen Sie JUSTIFICATION durch eine Begründung für die Verwendung von Break-Glass.

Sie können jetzt Break-Glass-Ereignisse in Cloud-Audit-Logs ansehen.

Warnung :Wenn Sie die YAML-Konfiguration des Cloud Run-Dienstes direkt bearbeiten, um die Annotation run.googleapis.com/binary-authorization-breakglass: 'JUSTIFICATION' hinzuzufügen, kann dies dazu führen, dass bei allen nachfolgenden Bereitstellungen die Binärautorisierung umgangen und Breakglass mit der angegebenen Begründung verwendet wird.

Nächste Schritte

• Ereignisse zur Binärautorisierung in Cloud-Audit-Logs ansehen
• Konfigurieren Sie die Richtlinie für die Binärautorisierung mit der Google Cloud Console oder dem Befehlszeilentool.
• Verwenden Sie Attestierungen, um nur signierte Container-Images bereitzustellen.