Guida rapida: monitora la sicurezza dei pod con la convalida continua

Crea una policy della piattaforma

Per configurare un criterio della piattaforma GKE per i CV, procedi nel seguente modo:

1. Crea il file YAML dei criteri della piattaforma:

   cat << EOF > /tmp/my-policy.yaml
   gkePolicy:
     checkSets:
     - checks:
       - trustedDirectoryCheck:
           trustedDirPatterns:
           - us-central1-docker.pkg.dev/my-project/my-directory
         displayName: My trusted directory check
       - imageFreshnessCheck:
           maxUploadAgeDays: 30
         displayName: My image freshness check
       displayName: My trusted directory and image freshness check set
   EOF
   

   Questo criterio verifica le seguenti condizioni:

   • Le immagini dei pod vengono archiviate nel repository Artifact Registry chiamato us-central1-docker.pkg.dev/my-project/my-directory.

   • Le immagini dei pod sono state caricate nei repository Artifact Registry o Container Registry negli ultimi 30 giorno.

2. Crea il criterio della piattaforma:

   gcloud beta container binauthz policy create POLICY_ID \
       --platform=gke \
       --policy-file=/tmp/my-policy.yaml \
       --project=POLICY_PROJECT_ID
   

   Sostituisci quanto segue:

   • POLICY_ID: un ID a tua scelta
   • POLICY_PROJECT_ID: l'ID progetto del criterio

Crea o aggiorna un cluster

Per attivare la CV su un cluster, puoi creare un nuovo cluster o aggiornarne uno esistente.

• Per creare un cluster con il criterio della piattaforma basato su controlli abilitato, esegui il seguente comando:

  gcloud beta container clusters create CLUSTER_NAME \
      --location=LOCATION \
      --binauthz-evaluation-mode=POLICY_BINDINGS \
      --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
      --project=CLUSTER_PROJECT_ID
  

  Sostituisci quanto segue:

  • CLUSTER_NAME: il nome del cluster
  • LOCATION: la località, ad esempio: us-central1 o asia-south1
  • POLICY_PROJECT_ID: l'ID del progetto in cui è memorizzato il criterio
  • POLICY_ID: l'ID criterio
  • CLUSTER_PROJECT_ID: l'ID progetto del cluster

  Attendi che il cluster venga creato.

• Per aggiornare un cluster esistente con i criteri basati su controlli abilitati, esegui il seguente comando.

  gcloud beta container clusters update CLUSTER_NAME \
      --location=LOCATION \
      --binauthz-evaluation-mode=POLICY_BINDINGS \
      --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
      --project=CLUSTER_PROJECT_ID
  

  Sostituisci quanto segue:

  • CLUSTER_NAME: il nome del cluster
  • LOCATION: la località, ad esempio: us-central1 o asia-south1
  • POLICY_PROJECT_ID: l'ID del progetto in cui è memorizzato il criterio
  • POLICY_ID: l'ID criterio
  • CLUSTER_PROJECT_ID: l'ID progetto del cluster

  Attendi l'aggiornamento del cluster.

Esegui il deployment di un'immagine

1. Recupera la credenziale per kubectl:

   gcloud container clusters get-credentials CLUSTER_NAME
   

2. Esegui il deployment di un'immagine:

   kubectl run hello-app \
       --image=us-docker.pkg.dev/google-samples/containers/gke/hello-app:1.0
   

   L'immagine us-docker.pkg.dev/google-samples/containers/gke/hello-app:1.0soddisfa il controllo dell'aggiornamento perché è stata caricata nel repository negli ultimi 30 giorni. Tuttavia, l'immagine non soddisfa il controllo della directory attendibile perché non si trova in us-central1-docker.pkg.dev/my-project/my-directory. Di conseguenza, CV produce voci di log TrustedDirectoryCheck in Cloud Logging.

Visualizza i log

La voce di log viene visualizzata in Cloud Logging entro 24 ore dal deployment del pod, ma può essere visualizzata anche in un paio di ore.

Per visualizzare il log in Cloud Logging, utilizza il seguente filtro:

logName:"binaryauthorization.googleapis.com%2Fcontinuous_validation"
"policyName"

Il log del pod hello-app è simile a quello riportato di seguito. Alcuni campi potrebbero essere diversi a seconda dell'ID progetto, del nome del cluster e così via.

{
  "insertId": "637c2de7-0000-2b64-b671-24058876bb74",
  "jsonPayload": {
    "podEvent": {
      "endTime": "2022-11-22T01:14:30.430151Z",
      "policyName": "projects/1234567890/platforms/gke/policies/my-policy",
      "images": [
        {
          "result": "DENY",
          "checkResults": [
            {
              "explanation": "TrustedDirectoryCheck at index 0 with display name \"My trusted directory check\" has verdict NOT_CONFORMANT. Image is not in a trusted directory",
              "checkSetName": "Default check set",
              "checkSetIndex": "0",
              "checkName": "My trusted directory check",
              "verdict": "NON_CONFORMANT",
              "checkType": "TrustedDirectoryCheck",
              "checkIndex": "0"
            }
          ],
          "image": "us-docker.pkg.dev/google-samples/containers/gke/hello-app:1.0"
        }
      ],
      "verdict": "VIOLATES_POLICY",
      "podNamespace": "default",
      "deployTime": "2022-11-22T01:06:53Z",
      "pod": "hello-app"
    },
    "@type": "type.googleapis.com/google.cloud.binaryauthorization.v1beta1.ContinuousValidationEvent"
  },
  "resource": {
    "type": "k8s_cluster",
    "labels": {
      "project_id": "my-project",
      "location": "us-central1-a",
      "cluster_name": "my-cluster"
    }
  },
  "timestamp": "2022-11-22T01:44:28.729881832Z",
  "severity": "WARNING",
  "logName": "projects/my-project/logs/binaryauthorization.googleapis.com%2Fcontinuous_validation",
  "receiveTimestamp": "2022-11-22T03:35:47.171905337Z"
}

La voce di log mostra informazioni sulla violazione delle norme, inclusi i seguenti campi:

• policyName: una norma della piattaforma utilizzata da CV al momento della violazione

• checkResults: un blocco di risultati che include i seguenti campi:

  • explanation: un messaggio di errore
  • checkSetName: il valore displayName per l'insieme di controlli
  • checkSetIndex: l'indice del controllo impostato nel criterio
  • checkName: il nome del controllo
  • checkIndex: l'indice del controllo nel set di controllo
  • verdict: il verdetto che ha generato la voce di log, in questo caso NOT_CONFORMANT perché il controllo non è stato soddisfatto.

Alcuni controlli possono includere informazioni aggiuntive che possono aiutarti a capire perché il controllo non è stato soddisfatto.

Poiché l'immagine ha soddisfatto il controllo dell'aggiornamento, questo non viene visualizzato nel log.