Binärautorisierung aktivieren

Hinweis: Ab GKE on AWS Version 1.28 ist die manuelle Richtlinienbindung zur Autorisierung des Dienstkontos für die Binärautorisierung nicht mehr erforderlich. Die erforderlichen Berechtigungen werden diesem Dienstkonto jetzt automatisch gewährt. Sie können Schritt 2 in der folgenden Anleitung daher ignorieren.

So aktivieren Sie die Binärautorisierung für GKE on AWS:

1. Aktivieren Sie die Binary Authorization API in Ihrem Projekt:

   gcloud services enable binaryauthorization.googleapis.com \
     --project=PROJECT_ID
   

   Ersetzen Sie PROJECT_ID durch die ID IhresGoogle Cloud Projekts.

2. Weisen Sie dem Kubernetes-Dienstkonto, das dem Binärautorisierungs-Agent zugeordnet ist, die Rolle binaryauthorization.policyEvaluator zu:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member=serviceAccount:PROJECT_ID.svc.id.goog[gke-system/binauthz-agent] \
     --role="roles/binaryauthorization.policyEvaluator"
   

3. Aktivieren Sie die Binärautorisierung, wenn Sie einen Cluster erstellen oder aktualisieren. Geben Sie das Flag --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE an, da es die Binärautorisierung aktiviert:

   Cluster erstellen

   gcloud container aws clusters create CLUSTER_NAME \
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Ersetzen Sie CLUSTER_NAME durch den Namen Ihres Clusters.

   Cluster aktualisieren

   gcloud container aws clusters update CLUSTER_NAME \
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Ersetzen Sie CLUSTER_NAME durch den Namen Ihres Clusters.

Mit diesen Schritten sorgen Sie dafür, dass nur vertrauenswürdige und verifizierte Images zum Erstellen von Kubernetes-Containern in Ihren GKE-Clustern verwendet werden. So erhalten Sie eine sichere Umgebung für Ihre Anwendungen.