הפעלת Binary Authorization

הערה: החל מגרסה 1.28 של Kubernetes, כבר לא צריך לבצע ידנית קישור של מדיניות כדי להעניק לחשבון השירות הרשאה ל-Binary Authorization. ההרשאות הנדרשות מוענקות עכשיו באופן אוטומטי לחשבון השירות הזה. לכן אפשר להתעלם משלב 2 בהוראות הבאות.

כדי להפעיל את Binary Authorization באשכולות שמצורפים ל-GKE, מבצעים את השלבים הבאים:

1. מפעילים את Binary Authorization API בפרויקט:

   gcloud services enable binaryauthorization.googleapis.com \
     --project=PROJECT_ID
   

   מחליפים את PROJECT_ID במזהה שלGoogle Cloud הפרויקט.

2. מקצים את התפקיד binaryauthorization.policyEvaluator לחשבון השירות של Kubernetes שמשויך לסוכן Binary Authorization:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member=serviceAccount:PROJECT_ID.svc.id.goog[gke-system/binauthz-agent] \
     --role="roles/binaryauthorization.policyEvaluator"
   

3. מפעילים את Binary Authorization כשרושמים או מעדכנים אשכול.

   רישום אשכול

   כדי להפעיל Binary Authorization כשרושמים אשכול, משתמשים בפקודה gcloud container attached clusters register. פועלים לפי ההוראות שבקטע צירוף אשכול EKS וכוללים את הארגומנט האופציונלי --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE:

   gcloud container attached clusters register CLUSTER_NAME \
     ...
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   מחליפים את CLUSTER_NAME בשם האשכול.

   עדכון אשכול

   כדי להפעיל את Binary Authorization כשמעדכנים אשכול, משתמשים בפקודה gcloud container attached clusters update. פועלים לפי ההוראות במאמר בנושא עדכון אשכול EKS וכוללים את הארגומנט האופציונלי --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE:

   gcloud container attached clusters update CLUSTER_NAME \
     ...
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   מחליפים את CLUSTER_NAME בשם האשכול.

השלבים האלה מבטיחים שרק תמונות מהימנות ומאומתות ישמשו ליצירת קונטיינרים של Kubernetes באשכולות GKE. כך אנחנו שומרים על סביבה מאובטחת לאפליקציות שלכם.

הגדרת כללי מדיניות

הפעלה של Binary Authorization בלבד לא מגנה על האשכול באופן אוטומטי. כברירת מחדל, המדיניות מאפשרת פריסה של כל תמונות המאגר אם לא מוגדרת מדיניות. כלומר, כדי לאבטח את האשכול בצורה יעילה, צריך להגדיר מדיניות שמציינת אילו תמונות מותרות ולאכוף אותה. כדי ללמוד איך להגדיר מדיניות של Binary Authorization, ראו הגדרת מדיניות באמצעות Google Cloud CLI.