Configurare un criterio utilizzando la console Google Cloud

Questa pagina fornisce istruzioni per configurare un criterio di autorizzazione binaria utilizzando la console Google Cloud. In alternativa, puoi eseguire queste attività utilizzando Google Cloud CLI o l'API REST. Questo passaggio fa parte della configurazione di Autorizzazione binaria.

Un criterio è un insieme di regole che regolano il deployment di una o più immagini container.

Prima di iniziare

  1. Attiva Autorizzazione binaria.

  2. Abilita Autorizzazione binaria per la tua piattaforma:

  3. Se intendi utilizzare le attestazioni, ti consigliamo di creare gli attestatori prima di configurare il criterio. Puoi creare attestatori utilizzando la console Google Cloud o tramite uno strumento a riga di comando.

  4. Seleziona l'ID progetto in cui hai attivato l'Autorizzazione binaria.

Impostare la regola predefinita

Questa sezione si applica a GKE, GKE Multi-Cloud, Distributed Cloud, Cloud Run e Cloud Service Mesh.

Una regola è la parte di un criterio che definisce i vincoli che le immagini devono soddisfare prima di poter essere implementate. La regola predefinita definisce i vincoli che si applicano a tutte le immagini container non esenti che non hanno regole specifiche per il cluster. Ogni criterio ha una regola predefinita.

Per impostare la regola predefinita:

  1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

    Vai alla pagina Autorizzazione binaria

  2. Fai clic sulla scheda Norme.

  3. Fai clic su Modifica criterio.

  4. Imposta la modalità di valutazione per la regola predefinita.

    La modalità di valutazione specifica il tipo di vincolo applicato da Autorizzazione binaria al momento del deployment. Per impostare la modalità di valutazione, seleziona una delle seguenti opzioni:

    • Consenti tutte le immagini: consente il deployment di tutte le immagini.
    • Nega tutte le immagini: impedisce il deployment di tutte le immagini.
    • Consenti solo le immagini approvate dai seguenti attestatori: consente di eseguire il deployment di un'immagine se questa ha una o più attestazioni che possono essere verificate da tutti gli attestatori che aggiungi a questa regola. Per scoprire come creare gli attestatori, consulta Creare attestatori.

    Se hai selezionato Consenti solo le immagini approvate dai seguenti attestatori:

    1. Recupera il nome o l'ID risorsa dell'attestatore.

      Nella console Google Cloud, nella pagina Attestatori, puoi visualizzare gli attestatori esistenti o crearne uno nuovo.

      Vai alla pagina degli attestatori di autorizzazione binaria

    2. Fai clic su Aggiungi attestatori.

    3. Seleziona una delle seguenti opzioni:

      • Aggiungi in base a nome progetto e attestatore

        Il progetto si riferisce all'ID progetto che memorizza i tuoi attestatori. Un esempio di nome di un attestatore è build-qa.

      • Aggiungi tramite ID risorsa attestatore

        Un ID risorsa ha il seguente formato:

        projects/PROJECT_ID/attestors/ATTESTOR_NAME

    4. In Attestatori, inserisci i valori appropriati per l'opzione selezionata.

    5. Fai clic su Aggiungi un altro attestatore se vuoi aggiungere altri attestatori.

    6. Fai clic su Aggiungi attestatore per salvare la regola.

Se vuoi attivare la modalità di prova:

  1. Seleziona Modalità dry run.

  2. Fai clic su Save Policy (Salva criterio).

Imposta regole specifiche per il cluster (facoltative)

Questa sezione si applica a GKE, Distributed Cloud e Cloud Service Mesh.

Un criterio può anche avere una o più regole specifiche per cluster. Questo tipo di regola si applica alle immagini container che devono essere dipiattate solo in cluster Google Kubernetes Engine (GKE) specifici. Le regole specifiche per il cluster sono una parte facoltativa di un criterio.

Aggiungi una regola specifica per il cluster (GKE)

Questa sezione si applica a GKE e Distributed Cloud.

Per aggiungere una regola specifica per un cluster GKE, procedi nel seguente modo:

  1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

    Vai alla pagina Autorizzazione binaria

  2. Fai clic sulla scheda Norme.

  3. Fai clic su Modifica criterio.

  4. Espandi la sezione Impostazioni aggiuntive per i deployment GKE e GKE Enterprise.

  5. Se non è impostato un tipo di regola specifico, fai clic su Crea regole specifiche.

    1. Per selezionare il tipo di regola, fai clic su Tipo di regola specifico.

    2. Per modificare il tipo di regola, fai clic su Modifica.

  6. Fai clic su Aggiungi regola specifica.

  7. Nel campo ID risorsa cluster, inserisci l'ID risorsa del cluster.

    L'ID risorsa del cluster ha il formato LOCATION.NAME, ad esempio us-central1-a.test-cluster.

  8. Imposta la modalità di valutazione per la regola predefinita.

    La modalità di valutazione specifica il tipo di vincolo applicato da Autorizzazione binaria al momento del deployment. Per impostare la modalità di valutazione, seleziona una delle seguenti opzioni:

    • Consenti tutte le immagini: consente il deployment di tutte le immagini.
    • Nega tutte le immagini: impedisce il deployment di tutte le immagini.
    • Consenti solo le immagini approvate dai seguenti attestatori: consente di eseguire il deployment di un'immagine se questa ha una o più attestazioni che possono essere verificate da tutti gli attestatori che aggiungi a questa regola. Per scoprire come creare gli attestatori, consulta Creare attestatori.

    Se hai selezionato Consenti solo le immagini approvate dai seguenti attestatori:

    1. Recupera il nome o l'ID risorsa dell'attestatore.

      Nella console Google Cloud, nella pagina Attestatori, puoi visualizzare gli attestatori esistenti o crearne uno nuovo.

      Vai alla pagina degli attestatori di autorizzazione binaria

    2. Fai clic su Aggiungi attestatori.

    3. Seleziona una delle seguenti opzioni:

      • Aggiungi in base a nome progetto e attestatore

        Il progetto si riferisce all'ID progetto che memorizza i tuoi attestatori. Un esempio di nome di un attestatore è build-qa.

      • Aggiungi tramite ID risorsa attestatore

        Un ID risorsa ha il seguente formato:

        projects/PROJECT_ID/attestors/ATTESTOR_NAME

    4. In Attestatori, inserisci i valori appropriati per l'opzione selezionata.

    5. Fai clic su Aggiungi un altro attestatore se vuoi aggiungere altri attestatori.

    6. Fai clic su Aggiungi attestatore per salvare la regola.

  9. Fai clic su Aggiungi per aggiungere la regola specifica per il cluster.

    Potresti visualizzare il messaggio "Sembra che questo cluster non esista. Questa regola avrà comunque effetto se il cluster diventerà disponibile in GKE in futuro." In questo caso, fai di nuovo clic su Aggiungi per salvare la regola.

  10. Se vuoi attivare la modalità di prova, seleziona Modalità di prova.

  11. Fai clic su Save Policy (Salva criterio).

Aggiungi una regola specifica per il cluster (GKE Multi-Cloud,Distributed Cloud)

Questa sezione si applica a Distributed Cloud.

Per aggiungere una regola specifica per un cluster GKE, procedi nel seguente modo:

  1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

    Vai alla pagina Autorizzazione binaria

  2. Fai clic sulla scheda Norme.

  3. Fai clic su Modifica criterio.

  4. Espandi la sezione Impostazioni aggiuntive per i deployment GKE e GKE Enterprise.

  5. Se non è impostato un tipo di regola specifico, fai clic su Crea regole specifiche.

    1. Per selezionare il tipo di regola, fai clic su Tipo di regola specifico.

    2. Per aggiornare il tipo di regola, fai clic su Modifica.

  6. Fai clic su Aggiungi regola specifica.

  7. Nel campo ID risorsa cluster, inserisci l'ID risorsa del cluster.

    • Per i cluster collegati a GKE e GKE su AWS, il formato è CLUSTER_LOCATION.CLUSTER_NAME, ad esempio us-central1-a.test-cluster.
    • Per Google Distributed Cloud e Google Distributed Cloud, il formato è FLEET_MEMBERSHIP_LOCATION.FLEET_MEMBERSHIP_ID, ad esempio global.test-membership.

  8. Imposta la modalità di valutazione per la regola predefinita.

    La modalità di valutazione specifica il tipo di vincolo applicato da Autorizzazione binaria al momento del deployment. Per impostare la modalità di valutazione, seleziona una delle seguenti opzioni:

    • Consenti tutte le immagini: consente il deployment di tutte le immagini.
    • Nega tutte le immagini: impedisce il deployment di tutte le immagini.
    • Consenti solo le immagini approvate dai seguenti attestatori: consente di eseguire il deployment di un'immagine se questa ha una o più attestazioni che possono essere verificate da tutti gli attestatori che aggiungi a questa regola. Per scoprire come creare gli attestatori, consulta Creare attestatori.

    Se hai selezionato Consenti solo le immagini approvate dai seguenti attestatori:

    1. Recupera il nome o l'ID risorsa dell'attestatore.

      Nella console Google Cloud, nella pagina Attestatori, puoi visualizzare gli attestatori esistenti o crearne uno nuovo.

      Vai alla pagina degli attestatori di autorizzazione binaria

    2. Fai clic su Aggiungi attestatori.

    3. Seleziona una delle seguenti opzioni:

      • Aggiungi in base a nome progetto e attestatore

        Il progetto si riferisce all'ID progetto che memorizza i tuoi attestatori. Un esempio di nome di un attestatore è build-qa.

      • Aggiungi tramite ID risorsa attestatore

        Un ID risorsa ha il seguente formato:

        projects/PROJECT_ID/attestors/ATTESTOR_NAME

    4. In Attestatori, inserisci i valori appropriati per l'opzione selezionata.

    5. Fai clic su Aggiungi un altro attestatore se vuoi aggiungere altri attestatori.

    6. Fai clic su Aggiungi attestatore per salvare la regola.

  9. Fai clic su Aggiungi per salvare la regola.

    Potresti visualizzare il messaggio "Sembra che questo cluster non esista. Questa regola viene applicata anche se il cluster specificato diventa disponibile in GKE in futuro." In questo caso, fai di nuovo clic su Aggiungi per salvare la regola.

  10. Se vuoi attivare la modalità di prova, seleziona Modalità di prova.

  11. Fai clic su Save Policy (Salva criterio).

Aggiungi regole specifiche

Puoi creare regole con ambito limitato a un'identità di servizio mesh, a un account di servizio Kubernetes o a uno spazio dei nomi Kubernetes. Puoi aggiungere o modificare una regola specifica nel seguente modo:

  1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

    Vai alla pagina Autorizzazione binaria

  2. Fai clic sulla scheda Norme.

  3. Fai clic su Modifica criterio.

  4. Espandi la sezione Impostazioni aggiuntive per i deployment GKE e Anthos.

  5. Se non è impostato un tipo di regola specifico, fai clic su Crea regole specifiche.

    1. Fai clic su Tipo di regola specifica per selezionare il tipo di regola.

    2. Fai clic su Cambia per aggiornare il tipo di regola.

  6. Se il tipo di regola specifica esiste, puoi modificarlo facendo clic su Modifica tipo.

  7. Per aggiungere una regola specifica, fai clic su Aggiungi regola specifica. A seconda del tipo di regola scelto, inserisci un ID come segue:

    • Identità servizio ASM: inserisci l'identità servizio ASM, che ha il seguente formato: PROJECT_ID.svc.id.goog/ns/NAMESPACE/sa/SERVICE_ACCOUNT
    • Service account Kubernetes: inserisci il tuo account di servizio Kubernetes, che ha il seguente formato: NAMESPACE:SERVICE_ACCOUNT.
    • Spazio dei nomi Kubernetes: inserisci lo spazio dei nomi Kubernetes, che ha il seguente formato: NAMESPACE

    Sostituisci quanto segue, come richiesto, a seconda del tipo di regola:

    • PROJECT_ID: l'ID progetto in cui definisci le risorse Kubernetes.
    • NAMESPACE: lo spazio dei nomi Kubernetes.
    • SERVICE_ACCOUNT: l'account di servizio.

  8. Imposta la modalità di valutazione per la regola predefinita.

    La modalità di valutazione specifica il tipo di vincolo applicato da Autorizzazione binaria al momento del deployment. Per impostare la modalità di valutazione, seleziona una delle seguenti opzioni:

    • Consenti tutte le immagini: consente il deployment di tutte le immagini.
    • Nega tutte le immagini: impedisce il deployment di tutte le immagini.
    • Consenti solo le immagini approvate dai seguenti attestatori: consente di eseguire il deployment di un'immagine se questa ha una o più attestazioni che possono essere verificate da tutti gli attestatori che aggiungi a questa regola. Per scoprire come creare gli attestatori, consulta Creare attestatori.

    Se hai selezionato Consenti solo le immagini approvate dai seguenti attestatori:

    1. Recupera il nome o l'ID risorsa dell'attestatore.

      Nella console Google Cloud, nella pagina Attestatori, puoi visualizzare gli attestatori esistenti o crearne uno nuovo.

      Vai alla pagina degli attestatori di autorizzazione binaria

    2. Fai clic su Aggiungi attestatori.

    3. Seleziona una delle seguenti opzioni:

      • Aggiungi in base a nome progetto e attestatore

        Il progetto si riferisce all'ID progetto che memorizza i tuoi attestatori. Un esempio di nome di un attestatore è build-qa.

      • Aggiungi tramite ID risorsa attestatore

        Un ID risorsa ha il seguente formato:

        projects/PROJECT_ID/attestors/ATTESTOR_NAME

    4. In Attestatori, inserisci i valori appropriati per l'opzione selezionata.

    5. Fai clic su Aggiungi un altro attestatore se vuoi aggiungere altri attestatori.

    6. Fai clic su Aggiungi attestatore per salvare la regola.

  9. Fai clic su Modalità di prova per attivare la modalità di prova.

  10. Fai clic su Aggiungi per salvare la regola specifica.

  11. Fai clic su Save Policy (Salva criterio).

Gestire le immagini esenti

Questa sezione si applica a GKE, Distributed Cloud, Cloud Run e Cloud Service Mesh.

Un'immagine esente è un'immagine, specificata da un percorso, esente dalle regole delle norme. L'autorizzazione binaria consente sempre di eseguire il deployment delle immagini esenti.

Questo percorso può specificare una posizione in Container Registry o in un altro registry di immagini container.

Cloud Run

Questa sezione si applica a Cloud Run.

Non puoi specificare direttamente i nomi delle immagini che contengono un tag. Ad esempio, non puoi specificare IMAGE_PATH:latest.

Se vuoi specificare nomi di immagini che contengono tag, devi specificare il nome dell'immagine utilizzando un carattere jolly come segue:

  • * per tutte le versioni di un'unica immagine; ad esempio, us-docker.pkg.dev/myproject/container/hello@*
  • ** per tutte le immagini di un progetto, ad esempio us-docker.pkg.dev/myproject/**

Puoi utilizzare i nomi dei percorsi per specificare un digest nel formato IMAGE_PATH@DIGEST.

Attiva il criterio di sistema

Questa sezione si applica a GKE e Distributed Cloud.

Accetta tutte le immagini di sistema fornite da Google è un'impostazione dei criteri che attiva il criterio di sistema di Autorizzazione binaria. Se questa impostazione è attivata al momento del deployment, l'autorizzazione binaria esenta da un'ulteriore valutazione dei criteri un elenco di immagini di sistema gestite da Google richieste da GKE. Il criterio di sistema viene valutato prima di qualsiasi altra impostazione di criterio.

Per attivare il criterio di sistema:

  1. Vai alla pagina Autorizzazione binaria nella console Google Cloud.

    Vai ad Autorizzazione binaria

  2. Fai clic su Modifica criterio.

  3. Espandi la sezione Impostazioni aggiuntive per i deployment GKE e Anthos.

  4. Seleziona Accetta tutte le immagini di sistema fornite da Google nella sezione Esenzione immagini di sistema Google.

    Per visualizzare le immagini esenti dalle norme di sistema, fai clic su Visualizza dettagli.

  5. Per specificare manualmente altre immagini esenti, espandi la sezione Regole di esenzione personalizzate in Immagini con esenzione da questa norma.

    Poi, fai clic su Aggiungi pattern immagine e inserisci il percorso del registry per qualsiasi immagine aggiuntiva da esentare.

  6. Fai clic su Save Policy (Salva criterio).

Passaggi successivi