Come abilitare Autorizzazione binaria

Nota: a partire dalla versione 1.28 di GKE su AWS, l'associazione manuale dei criteri per autorizzare l'account di servizio per l'Autorizzazione binaria non è più necessaria. Le autorizzazioni richieste vengono ora concesse automaticamente a questo account di servizio. Di conseguenza, puoi ignorare il passaggio 2 nelle istruzioni che seguono.

Per abilitare l'autorizzazione binaria per GKE su AWS, svolgi i seguenti passaggi:

1. Abilita l'API Binary Authorization nel tuo progetto:

   gcloud services enable binaryauthorization.googleapis.com \
     --project=PROJECT_ID
   

   Sostituisci PROJECT_ID con l'ID del tuo Google Cloud progetto.

2. Concedi il ruolo binaryauthorization.policyEvaluator all'account di servizio Kubernetes associato all'agente di autorizzazione binaria:

   gcloud projects add-iam-policy-binding PROJECT_ID \
     --member=serviceAccount:PROJECT_ID.svc.id.goog[gke-system/binauthz-agent] \
     --role="roles/binaryauthorization.policyEvaluator"
   

3. Abilita Autorizzazione binaria durante la creazione o l'aggiornamento di un cluster. Assicurati di includere il flag --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE, poiché questo attiva l'autorizzazione binaria:

   Creazione di un cluster

   gcloud container aws clusters create CLUSTER_NAME \
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Sostituisci CLUSTER_NAME con il nome del tuo cluster.

   Aggiornamento di un cluster

   gcloud container aws clusters update CLUSTER_NAME \
     --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE
   

   Sostituisci CLUSTER_NAME con il nome del tuo cluster.

Se segui questi passaggi, ti assicuri che vengano utilizzate solo immagini attendibili e verificate per creare container Kubernetes nei tuoi cluster GKE. In questo modo, contribuisci a mantenere un ambiente sicuro per le tue applicazioni.