Come attivare Autorizzazione binaria

Nota: a partire dalla versione 1.28 di GKE su AWS, l'associazione manuale di policy per autorizzare il account di servizio per Autorizzazione binaria non è più necessaria. Le autorizzazioni richieste vengono ora concesse automaticamente a questo account di servizio. Pertanto, puoi ignorare il passaggio 2 delle istruzioni riportate di seguito.

Per abilitare Autorizzazione binaria per GKE su AWS:

1. Abilita l'API Autorizzazione binaria nel tuo progetto:

   gcloud services enable binaryauthorization.googleapis.com \
     --project=PROJECT_ID
   

   Sostituisci PROJECT_ID con l'ID del tuo progettoGoogle Cloud .

2. Concedi il ruolo binaryauthorization.policyEvaluator al account di servizio Kubernetes associato all'agente di Autorizzazione binaria:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member=serviceAccount:PROJECT_ID.svc.id.goog[gke-system/binauthz-agent] \
     --role="roles/binaryauthorization.policyEvaluator"
   

3. Abilita Autorizzazione binaria durante la creazione o l'aggiornamento di un cluster. Assicurati di includere il flag --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE, poiché questo flag attiva l'autorizzazione binaria:

   Creazione di un cluster

   gcloud container aws clusters create CLUSTER_NAME \
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Sostituisci CLUSTER_NAME con il nome del tuo cluster.

   Aggiornamento di un cluster

   gcloud container aws clusters update CLUSTER_NAME \
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Sostituisci CLUSTER_NAME con il nome del tuo cluster.

Se segui questi passaggi, ti assicuri che per creare i container Kubernetes nei cluster GKE vengano utilizzate solo immagini attendibili e verificate. In questo modo si mantiene un ambiente sicuro per le tue applicazioni.