Cómo habilitar la autorización binaria

Nota: A partir de la versión 1.28 de GKE en AWS, ya no es necesario vincular manualmente políticas para autorizar la cuenta de servicio para la autorización binaria. Los permisos necesarios se otorgan automáticamente a esta cuenta de servicio. Por lo tanto, puede omitir el paso 2 de las siguientes instrucciones.

Para habilitar la autorización binaria para GKE en AWS, realice los siguientes pasos:

1. Habilite la API de autorización binaria en su proyecto:

   gcloud services enable binaryauthorization.googleapis.com \
     --project=PROJECT_ID
   

   Reemplace PROJECT_ID con el ID de suGoogle Cloud proyecto.

2. Otorgue la función binaryauthorization.policyEvaluator a la cuenta de servicio de Kubernetes asociada con el agente de autorización binaria:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member=serviceAccount:PROJECT_ID.svc.id.goog[gke-system/binauthz-agent] \
     --role="roles/binaryauthorization.policyEvaluator"
   

3. Habilite la autorización binaria al crear o actualizar un clúster. Asegúrese de incluir la opción --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE ya que esta opción habilita la autorización binaria.

   Creando un cluster

   gcloud container aws clusters create CLUSTER_NAME \
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Reemplace CLUSTER_NAME con el nombre de su clúster.

   Actualizar un clúster

   gcloud container aws clusters update CLUSTER_NAME \
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Reemplace CLUSTER_NAME con el nombre de su clúster.

Al seguir estos pasos, se asegurará de que solo se utilicen imágenes confiables y verificadas para crear contenedores de Kubernetes en sus clústeres de GKE. Esto ayuda a mantener un entorno seguro para sus aplicaciones.