Configurare un criterio di autorizzazione binaria con GKE

Console Google Cloud

I passaggi riportati di seguito configurano un cluster Autopilot.

1. Nella console Google Cloud, vai alla pagina Cluster Kubernetes di GKE:

   Vai a GKE

2. Fai clic su Crea.

3. In Crea un cluster Autopilot, procedi nel seguente modo:

   1. Nel campo Nome, inserisci test-cluster.

   2. Nel menu Regione, seleziona us-central1.

   3. Espandi la sezione Impostazioni avanzate.

   4. Fai clic sul link Sicurezza per visualizzare il riquadro Sicurezza.

   5. Nel riquadro Sicurezza, seleziona la casella di controllo Attiva Autorizzazione binaria.

   6. Seleziona Solo applicazione forzata.

   7. Fai clic su Avanti e poi su Avanti:esamina e crea.

   8. Per iniziare a creare il cluster, fai clic su Crea.

gcloud

Esegui gcloud container clusters create con il flag --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE attivo.

gcloud container clusters create \
    --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \
    --zone us-central1-a \
    test-cluster

Console Google Cloud

Per visualizzare il criterio predefinito:

1. Vai alla pagina Autorizzazione binaria nella console Google Cloud.

   Vai ad Autorizzazione binaria

   La console mostra i dettagli del criterio.

2. Fai clic su Modifica criterio.

3. In Regola predefinita del progetto, l'opzione Consenti tutte le immagini è selezionata.

gcloud

Per visualizzare il criterio predefinito, esporta il file YAML del criterio come segue:

gcloud container binauthz policy export

Per impostazione predefinita, il file ha i seguenti contenuti:

globalPolicyEvaluationMode: ENABLE
defaultAdmissionRule:
  evaluationMode: ALWAYS_ALLOW
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
name: projects/PROJECT_ID/policy

API REST

Per visualizzare il criterio predefinito, recuperalo in formato JSON come segue:

curl \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "x-goog-user-project: ${PROJECT_ID}" \
    "https://binaryauthorization.googleapis.com/v1/projects/${PROJECT_ID}/policy"

Il comando produce il seguente output:

{
  "name": "projects/PROJECT_ID/policy",
  "globalPolicyEvaluationMode": "ENABLE",
  "defaultAdmissionRule": {
    "evaluationMode": "ALWAYS_ALLOW",
    "enforcementMode": "ENFORCED_BLOCK_AND_AUDIT_LOG"
  }
}

Console Google Cloud

Per testare il criterio:

1. Vai alla pagina Cluster di GKE nella console Google Cloud.

   Vai a GKE

2. Fai clic su Esegui il deployment.

   La console ti chiede di inserire i dettagli del deployment.

3. Seleziona Immagine container esistente.

4. Inserisci gcr.io/google-samples/hello-app:1.0 come percorso dell'immagine container.

5. Fai clic su Continua.

6. Inserisci hello-server nel campo Nome applicazione.

7. Fai clic su Esegui il deployment.

kubectl

Per testare il criterio:

1. Aggiorna il file kubeconfig locale:

   gcloud container clusters get-credentials \
       --zone us-central1-a \
       test-cluster
   

   Vengono fornite le credenziali e le informazioni sugli endpoint necessarie per accedere al cluster in GKE.

2. Esegui il deployment dell'immagine:

   kubectl run hello-server --image gcr.io/google-samples/hello-app:1.0 --port 8080
   

Console Google Cloud

Per verificare che l'immagine sia stata dispiata, vai alla pagina Carichi di lavoro di GKE nella console Google Cloud.

Vai a GKE

Viene visualizzato un carico di lavoro per il deployment con un'icona verde che indica che il deployment dell'immagine è stato eseguito correttamente.

kubectl

Per verificare che l'immagine sia stata dispiata:

kubectl get pods

Il comando stampa un messaggio simile al seguente, che indica che il deployment è andato a buon fine:

NAME                            READY     STATUS    RESTARTS   AGE
hello-server-579859fb5b-h2k8s   1/1       Running   0          1m

Console Google Cloud

Per eliminare il deployment:

1. Torna alla pagina Workload di GKE nella console Google Cloud.

   Vai a GKE

2. Seleziona il carico di lavoro hello-server.

3. Fai clic su Elimina.

kubectl

Per eliminare il deployment:

kubectl delete deployment hello-server

Console Google Cloud

Per modificare il criterio:

1. Torna alla pagina Autorizzazione binaria nella console Google Cloud.

   Vai ad Autorizzazione binaria

2. Fai clic su Modifica criterio.

3. Seleziona Non consentire alcuna immagine.

4. Fai clic su Save Policy (Salva criterio).

gcloud

Per modificare il criterio:

1. Esporta il file YAML del criterio:

   gcloud container binauthz policy export  > /tmp/policy.yaml
   

2. In un editor di testo, cambia evaluationMode da ALWAYS_ALLOW a ALWAYS_DENY.

   Il file YAML dei criteri dovrebbe avere il seguente aspetto:

   globalPolicyEvaluationMode: ENABLE
   defaultAdmissionRule:
     evaluationMode: ALWAYS_DENY
     enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
   name: projects/PROJECT_ID/policy
   

3. Importa di nuovo il file YAML dei criteri in Autorizzazione binaria:

   gcloud container binauthz policy import /tmp/policy.yaml
   

API REST

Per modificare il criterio:

1. Crea un file di testo con i criteri aggiornati in formato JSON:

   cat > /tmp/policy.json << EOM
   {
     "name": "projects/${PROJECT_ID}/policy",
     "globalPolicyEvaluationMode": "ENABLE",
     "defaultAdmissionRule": {
       "evaluationMode": "ALWAYS_DENY",
       "enforcementMode": "ENFORCED_BLOCK_AND_AUDIT_LOG"
     }
   }
   EOM
   

2. Invia le norme aggiornate all'API REST:

   curl -X PUT \
       -H "Content-Type: application/json" \
       -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
       -H "x-goog-user-project: ${PROJECT_ID}" \
       --data-binary @/tmp/policy.json  \
       "https://binaryauthorization.googleapis.com/v1/projects/${PROJECT_ID}/policy"
   

Console Google Cloud

Esegui il deployment dell'immagine:

1. Vai alla pagina Cluster di GKE nella console Google Cloud.

   Vai a GKE

2. Fai clic su Esegui il deployment.

   La console ti chiede di inserire i dettagli del deployment.

3. Seleziona Immagine container esistente.

4. Inserisci gcr.io/google-samples/hello-app:1.0 come percorso dell'immagine container.

5. Fai clic su Continua.

6. Inserisci hello-server nel campo Nome applicazione.

7. Fai clic su Esegui il deployment.

kubectl

Esegui il deployment dell'immagine:

kubectl run hello-server --image gcr.io/google-samples/hello-app:1.0 --port 8080

Console Google Cloud

Per verificare che l'immagine non sia stata dispiata:

Torna alla pagina Workload di GKE nella console Google Cloud.

Vai a GKE

Il carico di lavoro per l'immagine del contenitore viene visualizzato con un'icona rossa che indica che il deployment dell'immagine non è riuscito.

kubectl

Per verificare che l'immagine non sia stata dispiata, esegui il seguente comando:

kubectl get pods

Il comando stampa il seguente messaggio, che indica che l'immagine non è stata dispiattata:

No resources found.

Puoi trovare ulteriori dettagli sul deployment:

kubectl get event --template \
'{{range.items}}{{"\033[0;36m"}}{{.reason}}:{{"\033[0m"}}{{.message}}{{"\n"}}{{end}}'

Viene visualizzata una risposta simile alla seguente:

FailedCreate: Error creating: pods POD_NAME is forbidden: admission webhook "imagepolicywebhook.image-policy.k8s.io" denied the request: Image IMAGE_NAME denied by Binary Authorization default admission rule. Denied by always_deny admission rule

In questo output:

• POD_NAME: il nome del pod.
• IMAGE_NAME: il nome dell'immagine.
• ATTESTOR_NAME: il nome dell'attestatore.