Configura l'applicazione delle policy di Autorizzazione binaria

Autorizzazione binaria per Google Distributed Cloud ti consente di estendere l'applicazione in fase di deployment di Autorizzazione binaria ai tuoi cluster on-premise. Sebbene venga utilizzata principalmente per proteggere i workload, Autorizzazione binaria funziona con tutti i tipi di cluster per applicare le regole di applicazione delle policy configurate nel tuo progetto Google Cloud . Per saperne di più su policy e regole, consulta la panoramica di Autorizzazione binaria.

Prerequisiti

Prima di poter abilitare l'applicazione delle policy di Autorizzazione binaria per un cluster, assicurati di soddisfare i seguenti criteri dei prerequisiti:

• Registra il cluster in un parco risorse: un cluster creato con bmctl viene registrato nel progetto Google Cloud specificato nel campo gkeConnect.projectID nel file di configurazione del cluster. Questo progetto è denominato progetto host del parco risorse. Per scoprire di più sui parchi risorse, inclusi casi d'uso, best practice ed esempi, consulta la documentazione sulla gestione del parco risorse.

• Abilita l'API Autorizzazione binaria nel tuo Google Cloud progetto: attiva il servizio Autorizzazione binaria nel progetto host del tuo parco risorse.

• Aggiungi il ruolo Binary Authorization Policy Evaluator al progetto host del parco risorse: per concedere il ruolo Binary Authorization Policy Evaluator (roles/binaryauthorization.policyEvaluator) al service account Kubernetes nel progetto host del parco risorse, esegui questo comando:

  gcloud projects add-iam-policy-binding PROJECT_ID \
      --member="serviceAccount:PROJECT_ID.svc.id.goog[binauthz-system/binauthz-agent]" \
      --role="roles/binaryauthorization.policyEvaluator"
  

  Se il cluster è in esecuzione dietro un server proxy, assicurati che il server proxy consenta le connessioni all'API Autorizzazione binaria (binaryauthorization.googleapis.com). Questa API fornisce la convalida e il controllo del deployment basati su policy per le immagini di cui è stato eseguito il deployment nel cluster. Per maggiori informazioni sull'utilizzo di una configurazione proxy, consulta Installa dietro un proxy.

Nota: se hai attivato Autorizzazione binaria per Google Distributed Cloud (anteprima), disattivala e pulisci le risorse prima di attivare la funzionalità GA. Utilizza le istruzioni riportate in questo documento per attivare la funzionalità GA sui cluster con versione 1.16.0 o successive.

Una volta soddisfatti i prerequisiti, puoi abilitare (o disabilitare) la policy di Autorizzazione binaria quando crei un nuovo cluster o ne aggiorni uno esistente.

Abilita la policy di Autorizzazione binaria durante la creazione del cluster

Puoi abilitare l'applicazione delle policy di Autorizzazione binaria con bmctl o gcloud CLI.

bmctl

Per abilitare Autorizzazione binaria quando crei un cluster con bmctl:

1. Prima di creare il cluster, aggiungi spec.binaryAuthorization.evaluationMode al file di configurazione del cluster, come mostrato nell'esempio seguente:

   ...
   ---
   apiVersion: baremetal.cluster.gke.io/v1
   kind: Cluster
   metadata:
     name: user-basic
     namespace: cluster-user-basic
   spec:
     type: user
     ...
     binaryAuthorization:
       evaluationMode: "PROJECT_SINGLETON_POLICY_ENFORCE"
   

   I valori consentiti per evaluationMode sono:

   • PROJECT_SINGLETON_POLICY_ENFORCE: applica le regole specificate nella policy di Autorizzazione binaria, nota anche come policy singleton del progetto, al tuo progetto Google Cloud per regolare il deployment delle immagini container nel tuo cluster.

   • DISABLE: disabilita l'utilizzo di Autorizzazione binaria per il tuo cluster. Questo è il valore predefinito. Se ometti binaryAuthorization, la funzionalità viene disattivata.

2. Apporta le altre modifiche necessarie al file di configurazione del cluster, quindi esegui il comando bmctl create cluster.

Per saperne di più sulla creazione di cluster, consulta Panoramica della creazione di cluster.

gcloud CLI

Anteprima

Questo prodotto o funzionalità sono soggetti ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

• Per creare un cluster utente e abilitare Autorizzazione binaria, aggiungi il flag --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE quando esegui il comando gcloud container bare-metal clusters create.

  In questo modo viene creato un cluster utente che applica le regole specificate nella policy di Autorizzazione binaria, nota anche come policy singleton del progetto. Questa policy è associata al tuo progetto Google Cloud e specifica le regole per gestire il deployment delle immagini container. Per saperne di più sull'utilizzo di gcloud CLI per creare un cluster utente, consulta Crea un cluster utente utilizzando i client API GKE On-Prem. Per saperne di più sulle regole e sulle policy di Autorizzazione binaria, consulta Panoramica di Autorizzazione binaria.

Abilita o disabilita la policy di Autorizzazione binaria per un cluster esistente

Se hai un cluster versione 1.16 o successiva, puoi attivare o disattivare Autorizzazione binaria in qualsiasi momento utilizzando bmctl o gcloud CLI.

bmctl

• Per abilitare l'opzione:

  1. Modifica il file di configurazione del cluster per aggiungere i campi binaryAuthorization:

     ...
     ---
     apiVersion: baremetal.cluster.gke.io/v1
     kind: Cluster
     metadata:
       name: user-basic
       namespace: cluster-user-basic
     spec:
       type: user
       ...
       binaryAuthorization:
         evaluationMode: "PROJECT_SINGLETON_POLICY_ENFORCE"
     

  2. Aggiorna il cluster:

     bmctl update cluster -c CLUSTER_NAME --admin-kubeconfig=CLUSTER_KUBECONFIG
     

     Sostituisci quanto segue:

     • CLUSTER_NAME: il nome del cluster da aggiornare.
     • CLUSTER_KUBECONFIG: il percorso del file kubeconfig del cluster.

  3. Attendi che il deployment denominato binauthz-module-deployment nello spazio dei nomi binauthz-system sia pronto.

     Quando il deployment è pronto, Autorizzazione binaria applica le regole specificate nella policy di Autorizzazione binaria, nota anche come policy singleton del progetto. Questa policy è associata al tuo progettoGoogle Cloud e specifica le regole per gestire il deployment delle immagini container. Per saperne di più sull'utilizzo di bmctl per aggiornare un cluster, consulta Aggiorna i cluster. Per saperne di più sulle policy e sulle regole di Autorizzazione binaria, consulta la panoramica di Autorizzazione binaria.

• Per disattivarla:

  Questa funzionalità può essere disattivata impostando evaluationMode su DISABLED o rimuovendo la sezione binaryAuthorization dalla specifica del cluster. Una volta apportata questa modifica, attendi qualche minuto fino alla rimozione del deployment denominato binauthz-module-deployment nello spazio dei nomi binauthz-system.

gcloud CLI

Anteprima

Questo prodotto o funzionalità sono soggetti ai "Termini dell'offerta pre-GA" nella sezione dei Termini di servizio generali dei Termini specifici dei servizi. I prodotti e le funzionalità pre-GA sono disponibili "così come sono" e potrebbero avere un supporto limitato. Per ulteriori informazioni, consulta le descrizioni della fase di lancio.

• Per abilitare Autorizzazione binaria per un cluster esistente, aggiungi il flag --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE quando esegui il comando gcloud container bare-metal clusters update.

  In questo modo, un cluster utente viene aggiornato in modo che Autorizzazione binaria applichi le regole specificate nella policy di Autorizzazione binaria, nota anche come policy singleton del progetto. Questa policy è associata al tuo progettoGoogle Cloud e specifica le regole per gestire il deployment delle immagini container. Per saperne di più sull'utilizzo di gcloud CLI per aggiornare un cluster utente, consulta gcloud container bare-metal clusters update nel riferimento gcloud CLI. Per saperne di più sulle regole e sulle policy di Autorizzazione binaria, consulta Panoramica di Autorizzazione binaria.

• Per disattivare Autorizzazione binaria per un cluster esistente, esegui il comando gcloud container bare-metal clusters update con il flag --binauthz-evaluation-mode=DISABLED.

Risoluzione dei problemi

Se non completi tutti i prerequisiti, potresti non vedere alcun segnale di un problema. Se Autorizzazione binaria non risponde alle richieste di creazione dei pod, controlla status.conditions per il ReplicaSet. Un messaggio simile al seguente indica che si è verificato un problema con la configurazione di Autorizzazione binaria:

failed to validate Binary Authorization policy

(1) Ensure the Binary Authorization API is enabled for your Google Cloud project:
    gcloud services enable binaryauthorization.googleapis.com --project=PROJECT_ID
(2) Ensure an IAM policy binding is in place granting binaryauthorization.policyEvaluator role to the binauthz-system/binauthz-agent Kubernetes service account:
    gcloud projects add-iam-policy-binding PROJECT_ID \
        --member="serviceAccount:PROJECT_ID.svc.id.goog[binauthz-system/binauthz-agent]" \
        --role=roles/binaryauthorization.policyEvaluator