Configuración de clústeres on-premise

Usar Workload Identity

1. Especifica el proyecto host de tu flota:

   export PROJECT_ID=PROJECT_ID
   

2. Asigna el ID de pertenencia a la flota al ID de tu clúster:

   El ID de la suscripción se muestra en la columna NAME cuando ejecutas el comando gcloud container fleet memberships list.

   export MEMBERSHIP_ID=CLUSTER_NAME
   

Usar una clave de cuenta de servicio

1. Especifica el proyecto host de tu flota:

   export PROJECT_ID=PROJECT_ID
   

   Sustituye PROJECT_ID por el Google Cloud proyecto en la sección gkeConnect de tu archivo de configuración del clúster de usuarios.

2. Especifica la ruta del archivo kubeconfig del clúster de usuarios:

   export KUBECONFIG=PATH
   

   Sustituye PATH por la ruta del archivo kubeconfig de tu clúster de usuario.

3. Elige un nombre para la cuenta de servicio de acceso a la API de autorización binaria:

   export SA_NAME=SERVICE_ACCOUNT_NAME
   

   Sustituye SERVICE_ACCOUNT_NAME por el nombre de la cuenta de servicio que quieras. El módulo de autorización binaria usa esta cuenta de servicio para acceder a la API Binary Authorization.

4. Especifica la ruta al archivo de clave de cuenta de servicio que descargarás más adelante en esta guía:

   export SA_JSON_PATH=SA_KEY_FILE_PATH
   

   Sustituye SA_KEY_FILE_PATH por la ruta del archivo de clave JSON de la cuenta de servicio.

Usar Workload Identity

La identidad de carga de trabajo de flotas permite que las cargas de trabajo de tu clúster se autentiquen en Google sin que tengas que descargar, rotar manualmente y gestionar en general las claves de las cuentas de servicio. Google Cloud Para obtener más información sobre cómo funciona la identidad de cargas de trabajo de flotas y las ventajas de usarla, consulta el artículo Usar la identidad de cargas de trabajo de flotas.

1. Asigna el rol binaryauthorization.policyEvaluator a la cuenta de servicio de Kubernetes en el proyecto host de tu flota:

   gcloud projects add-iam-policy-binding ${PROJECT_ID} \
       --member="serviceAccount:${PROJECT_ID}.svc.id.goog[binauthz-system/binauthz-admin]" \
       --role="roles/binaryauthorization.policyEvaluator"
   

2. Crea un directorio de trabajo:

   1. Crea un directorio llamado binauthz.

   2. Cambia al directorio.

3. Descarga el archivo manifest-wi-0.2.6.yaml.tmpl, que se usa para instalar el módulo de autorización binaria en tu clúster de usuario:

   Bare metal

   gcloud storage cp gs://anthos-baremetal-release/binauthz/manifest-wi-0.2.6.yaml.tmpl .
   

   VMware

   gcloud storage cp gs://gke-on-prem-release/binauthz/manifest-wi-0.2.6.yaml.tmpl .
   

4. Sustituye las variables de entorno en la plantilla:

   envsubst < manifest-wi-0.2.6.yaml.tmpl > manifest-0.2.6.yaml
   

5. Instala el módulo de autorización binaria en tu clúster de usuario:

   kubectl apply -f manifest-0.2.6.yaml
   

6. Verifica que se haya creado la implementación:

   kubectl get pod --namespace binauthz-system
   

   Verá el pod binauthz-module-deployment-* en la lista con Status de Running y 1/1 pods listos, como en este resultado:

   NAME                                          READY   STATUS    RESTARTS   AGE
   binauthz-module-deployment-5fddf9594f-qjprz   1/1     Running   0          11s
   

Usar una clave de cuenta de servicio

1. Define el proyecto predeterminado de Google Cloud CLI:

   gcloud config set project ${PROJECT_ID}
   

2. Crea una cuenta de servicio de acceso a la API de autorización binaria:

   gcloud iam service-accounts create ${SA_NAME}
   

3. Asigna el rol binaryauthorization.policyEvaluator a la cuenta de servicio de acceso a la API de Autorización binaria en el proyecto host de tu flota:

   gcloud projects add-iam-policy-binding ${PROJECT_ID}\
       --member="serviceAccount:${SA_NAME}@${PROJECT_ID}.iam.gserviceaccount.com" \
       --role="roles/binaryauthorization.policyEvaluator"
   

4. Crea un directorio de trabajo:

   1. Crea un directorio llamado binauthz.

   2. Cambia al directorio.

5. Descarga el archivo manifest-0.2.6.yaml, que se usa para instalar el módulo de autorización binaria en tu clúster de usuario:

   Bare metal

   gcloud storage cp gs://anthos-baremetal-release/binauthz/manifest-0.2.6.yaml .
   

   VMware

   gcloud storage cp gs://gke-on-prem-release/binauthz/manifest-0.2.6.yaml .
   

6. Crea un archivo YAML para el espacio de nombres binauthz-system.

   Copia lo siguiente en un archivo llamado namespace.yaml:

   apiVersion: v1
   kind: Namespace
   metadata:
     labels:
       control-plane: binauthz-controller
     name: binauthz-system
   

7. Crea el espacio de nombres en tu clúster de usuarios:

   kubectl apply -f namespace.yaml
   

   Verá un resultado similar al siguiente:

   namespace/binauthz-system created
   

8. Descarga un archivo de clave JSON de tu cuenta de servicio:

   gcloud iam service-accounts keys create ${SA_JSON_PATH} --iam-account ${SA_NAME}@${PROJECT_ID}.iam.gserviceaccount.com
   

9. Guarda la clave de la cuenta de servicio como un secreto de Kubernetes en tu clúster de usuario:

   kubectl --namespace binauthz-system create secret generic binauthz-sa --from-file=key.json=${SA_JSON_PATH}
   

10. Instala el módulo de autorización binaria en tu clúster de usuario:

    kubectl apply -f manifest-0.2.6.yaml
    

11. Verifica que se haya creado la implementación:

    kubectl get pod --namespace binauthz-system
    

    Verá el pod binauthz-module-deployment-* en la lista con Status de Running y 1/1 pods listos, como en este resultado:

    NAME                                          READY   STATUS    RESTARTS   AGE
    binauthz-module-deployment-5fddf9594f-qjprz   1/1     Running   0          11s
    

Consola

1. En la Google Cloud consola, ve a la página Autorización binaria.

   Ir a Autorización binaria

2. Asegúrate de seleccionar el ID del proyecto host de tu flota.

3. Haz clic en Editar política.

4. En Regla predeterminada del proyecto, selecciona Permitir todas las imágenes.

5. Haz clic en Save Policy.

gcloud

1. Define el PROJECT_ID de tu proyecto de host de flota. Puedes encontrar este ID de proyecto en el campo gkeConnect de tu archivo de configuración del clúster de usuario.

   export PROJECT_ID=PROJECT_ID
   

   Configura el proyecto Google Cloud predeterminado.

   gcloud config set project ${PROJECT_ID}
   

2. Exporta el archivo YAML de la política a tu sistema local:

   gcloud container binauthz policy export  > policy.yaml
   

   El archivo YAML tendrá este aspecto:

   defaultAdmissionRule:
     enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
     evaluationMode: ALWAYS_ALLOW
   globalPolicyEvaluationMode: ENABLE
   name: projects/<var>PROJECT_ID</var>/policy
   

3. Editar policy.yaml.

4. Asigna el valor ALWAYS_ALLOW a evaluationMode.

5. Si tienes un bloque requireAttestationsBy en el archivo, elimínalo.

6. Guarda el archivo.

7. Importa policy.yaml de la siguiente manera:

   gcloud container binauthz policy import policy.yaml
   

Para añadir una imagen exenta a la lista de permitidas, añade lo siguiente al archivo de políticas:

admissionWhitelistPatterns:
  - namePattern: EXEMPT_IMAGE_PATH

Sustituye EXEMPT_IMAGE_PATH por la ruta de la imagen que quieras excluir. Para excluir más imágenes, añada más entradas - namePattern. Consulta más información sobre admissionWhitelistPatterns.

Consola

1. En la Google Cloud consola, ve a la página Autorización binaria.

   Ir a Autorización binaria

2. Asegúrate de que esté seleccionado el proyecto host de tu flota.

3. Haz clic en Editar política.

4. En Regla predeterminada del proyecto, selecciona No permitir todas las imágenes.

5. Haz clic en Guardar política.

gcloud

1. Asigna el valor PROJECT_ID al ID del proyecto host de tu flota.

   export PROJECT_ID=PROJECT_ID
   

2. Configura el proyecto Google Cloud predeterminado.

   gcloud config set project ${PROJECT_ID}
   

3. Exporta el archivo YAML de la política:

   gcloud container binauthz policy export  > policy.yaml
   

4. Editar policy.yaml.

5. Asigna el valor ALWAYS_DENY a evaluationMode.

6. Si tienes un bloque requireAttestationsBy en el archivo, elimínalo.

7. Guarda el archivo.

8. Importa policy.yaml de la siguiente manera:

   gcloud container binauthz policy import policy.yaml
   

Consola

1. En la Google Cloud consola, ve a la página Clusters de GKE.

   Ir a Clústeres

2. Selecciona el ID del proyecto host de la flota de tus clústeres. Puedes encontrar este ID de proyecto en la sección gkeConnect del archivo de configuración de tu clúster de usuario.

3. En la lista de clústeres, busque el ID de su clúster en la columna Nombre.

4. Para crear el ID de recurso, añade el prefijo global. al ID de clúster para que el ID de recurso tenga el siguiente formato: global.CLUSTER_ID.

gcloud

1. Usa SSH para conectarte a tu estación de trabajo de administrador.

2. En la estación de trabajo del administrador, ejecuta el siguiente comando:

   kubectl get membership -o yaml
   

3. Obtén el ID del clúster del campo spec.owner.id de la salida. Ejemplo de salida:

   apiVersion: v1
   items:
   - apiVersion: hub.gke.io/v1
     kind: Membership
     ...
     spec:
       owner:
         id: //gkehub.googleapis.com/projects/PROJECT_NUMBER/locations/global/memberships/my-cluster-id
   

   En el ejemplo de salida, el ID del clúster es my-cluster-id.

4. Para crear el ID de recurso, añade el prefijo global. al ID de clúster. En el ejemplo, el ID de recurso es global.my-cluster-id.