Configurazione per i cluster on-premise

Utilizzare Workload Identity

1. Specifica il progetto host del parco risorse:

   export PROJECT_ID=PROJECT_ID
   

2. Imposta l'ID appartenenza al parco risorse sull'ID cluster:

   L'ID abbonamento è elencato nella colonna NAME quando esegui il comando gcloud container fleet memberships list.

   export MEMBERSHIP_ID=CLUSTER_NAME
   

Utilizzo della chiave dell'account di servizio

1. Specifica il progetto host del parco risorse:

   export PROJECT_ID=PROJECT_ID
   

   Sostituisci PROJECT_ID con il progetto Google Cloud nella sezione gkeConnect del file di configurazione del cluster di utenti.

2. Specifica il percorso del file kubeconfig del cluster utente:

   export KUBECONFIG=PATH
   

   Sostituisci PATH con il percorso del file kubeconfig del cluster utente.

3. Scegli un nome per l'account di servizio di accesso all'API Binary Authorization:

   export SA_NAME=SERVICE_ACCOUNT_NAME
   

   Sostituisci SERVICE_ACCOUNT_NAME con il nome dell'account di servizio scelto. Il Modulo di autorizzazione binaria utilizza questo account di servizio per accedere all'API Binary Authorization.

4. Specifica il percorso del file della chiave dell'account di servizio scaricato più avanti in questa guida:

   export SA_JSON_PATH=SA_KEY_FILE_PATH
   

   Sostituisci SA_KEY_FILE_PATH con il percorso del file della chiave JSON per l'account di servizio.

Utilizzare Workload Identity

Workload Identity consente ai workload del tuo cluster di autenticarsi su Google senza che tu debba scaricare, ruotare manualmente e gestire in generale le chiavi dell'account di servizio Google Cloud. Puoi scoprire di più sul funzionamento di Workload Identity del parco risorse e sui vantaggi del suo utilizzo in Utilizzare Workload Identity del parco risorse.

1. Concedi il ruolo binaryauthorization.policyEvaluator all'account di servizio Kubernetes nel progetto host del tuo parco:

   gcloud projects add-iam-policy-binding ${PROJECT_ID} \
       --member="serviceAccount:${PROJECT_ID}.svc.id.goog[binauthz-system/binauthz-admin]" \
       --role="roles/binaryauthorization.policyEvaluator"
   

2. Crea una directory di lavoro:

   1. Crea una directory denominata binauthz.

   2. Passa alla directory.

3. Scarica il file manifest-wi-0.2.6.yaml.tmpl, che utilizzi per installare il Modulo di autorizzazione binaria nel cluster di utenti:

   Bare metal

   gcloud storage cp gs://anthos-baremetal-release/binauthz/manifest-wi-0.2.6.yaml.tmpl .
   

   VMware

   gcloud storage cp gs://gke-on-prem-release/binauthz/manifest-wi-0.2.6.yaml.tmpl .
   

4. Sostituisci le variabili di ambiente nel modello:

   envsubst < manifest-wi-0.2.6.yaml.tmpl > manifest-0.2.6.yaml
   

5. Installa il Modulo di autorizzazione binaria nel cluster utente:

   kubectl apply -f manifest-0.2.6.yaml
   

6. Verifica che il deployment sia stato creato:

   kubectl get pod --namespace binauthz-system
   

   Vedrai il pod binauthz-module-deployment-* elencato con Status di Running e 1/1 pod pronti, in modo simile a questo output:

   NAME                                          READY   STATUS    RESTARTS   AGE
   binauthz-module-deployment-5fddf9594f-qjprz   1/1     Running   0          11s
   

Utilizzo della chiave dell'account di servizio

1. Imposta il progetto predefinito per Google Cloud CLI:

   gcloud config set project ${PROJECT_ID}
   

2. Crea un account di servizio di accesso all'API Binary Authorization:

   gcloud iam service-accounts create ${SA_NAME}
   

3. Concedi il ruolo binaryauthorization.policyEvaluator al account di servizio di accesso all'API Binary Authorization nel progetto host del tuo parco:

   gcloud projects add-iam-policy-binding ${PROJECT_ID}\
       --member="serviceAccount:${SA_NAME}@${PROJECT_ID}.iam.gserviceaccount.com" \
       --role="roles/binaryauthorization.policyEvaluator"
   

4. Crea una directory di lavoro:

   1. Crea una directory denominata binauthz.

   2. Passa alla directory.

5. Scarica il file manifest-0.2.6.yaml, che utilizzi per installare il Modulo di autorizzazione binaria nel cluster di utenti:

   Bare metal

   gcloud storage cp gs://anthos-baremetal-release/binauthz/manifest-0.2.6.yaml .
   

   VMware

   gcloud storage cp gs://gke-on-prem-release/binauthz/manifest-0.2.6.yaml .
   

6. Crea un file YAML per lo spazio dei nomi binauthz-system.

   Copia quanto segue in un file denominato namespace.yaml:

   apiVersion: v1
   kind: Namespace
   metadata:
     labels:
       control-plane: binauthz-controller
     name: binauthz-system
   

7. Crea lo spazio dei nomi nel cluster utente:

   kubectl apply -f namespace.yaml
   

   Viene visualizzato un output simile al seguente:

   namespace/binauthz-system created
   

8. Scarica un file della chiave JSON per il tuo account di servizio:

   gcloud iam service-accounts keys create ${SA_JSON_PATH} --iam-account ${SA_NAME}@${PROJECT_ID}.iam.gserviceaccount.com
   

9. Salva la chiave dell'account di servizio come secret Kubernetes nel cluster utente:

   kubectl --namespace binauthz-system create secret generic binauthz-sa --from-file=key.json=${SA_JSON_PATH}
   

10. Installa il Modulo di autorizzazione binaria nel cluster utente:

    kubectl apply -f manifest-0.2.6.yaml
    

11. Verifica che il deployment sia stato creato:

    kubectl get pod --namespace binauthz-system
    

    Vedrai il pod binauthz-module-deployment-* elencato con Status di Running e 1/1 pod pronti, in modo simile a questo output:

    NAME                                          READY   STATUS    RESTARTS   AGE
    binauthz-module-deployment-5fddf9594f-qjprz   1/1     Running   0          11s
    

Console

1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

   Vai ad Autorizzazione binaria

2. Assicurati di selezionare l'ID progetto host del tuo parco.

3. Fai clic su Modifica criterio.

4. In Regola predefinita del progetto, seleziona Consenti tutte le immagini.

5. Fai clic su Save Policy (Salva criterio).

gcloud

1. Imposta PROJECT_ID per il progetto host del parco risorse. Puoi trovare questo ID progetto nel campo gkeConnect del file di configurazione del cluster utente.

   export PROJECT_ID=PROJECT_ID
   

   Imposta il progetto Google Cloud predefinito.

   gcloud config set project ${PROJECT_ID}
   

2. Esporta il file YAML dei criteri sul sistema locale:

   gcloud container binauthz policy export  > policy.yaml
   

   Il file YAML ha il seguente aspetto:

   defaultAdmissionRule:
     enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
     evaluationMode: ALWAYS_ALLOW
   globalPolicyEvaluationMode: ENABLE
   name: projects/<var>PROJECT_ID</var>/policy
   

3. Modifica policy.yaml.

4. Imposta evaluationMode su ALWAYS_ALLOW.

5. Se il file contiene un blocco requireAttestationsBy, eliminalo.

6. Salva il file.

7. Importa policy.yaml come segue:

   gcloud container binauthz policy import policy.yaml
   

Per aggiungere un'immagine esente alla lista consentita, aggiungi quanto segue al file delle norme:

admissionWhitelistPatterns:
  - namePattern: EXEMPT_IMAGE_PATH

Sostituisci EXEMPT_IMAGE_PATH con il percorso dell'immagine da esentare. Per esentare altre immagini, aggiungi altre voci - namePattern. Scopri di più su admissionWhitelistPatterns.

Console

1. Nella console Google Cloud, vai alla pagina Autorizzazione binaria.

   Vai ad Autorizzazione binaria

2. Assicurati che il progetto host del parco risorse sia selezionato.

3. Fai clic su Modifica criterio.

4. In Regola predefinita del progetto, seleziona Non consentire tutte le immagini.

5. Fai clic su Salva criterio.

gcloud

1. Imposta PROJECT_ID sull'ID progetto host del tuo parco risorse.

   export PROJECT_ID=PROJECT_ID
   

2. Imposta il progetto Google Cloud predefinito.

   gcloud config set project ${PROJECT_ID}
   

3. Esporta il file YAML del criterio:

   gcloud container binauthz policy export  > policy.yaml
   

4. Modifica policy.yaml.

5. Imposta evaluationMode su ALWAYS_DENY.

6. Se il file contiene un blocco requireAttestationsBy, eliminalo.

7. Salva il file.

8. Importa policy.yaml come segue:

   gcloud container binauthz policy import policy.yaml
   

Console

1. Nella console Google Cloud, vai alla pagina Cluster di GKE.

   Vai a Cluster

2. Seleziona l'ID progetto host del parco risorse per i tuoi cluster. Puoi trovare questo ID progetto nella sezione gkeConnect del file di configurazione del cluster utente.

3. Nell'elenco dei cluster, individua l'ID cluster nella colonna Nome.

4. Per creare l'ID risorsa, aggiungi il prefisso global. all'ID cluster in modo che l'ID risorsa abbia il seguente formato:global.CLUSTER_ID.

gcloud

1. Utilizza SSH per connetterti alla workstation di amministrazione.

2. Nella workstation di amministrazione, esegui il seguente comando:

   kubectl get membership -o yaml
   

3. Recupera l'ID cluster dal campo spec.owner.id dell'output. Di seguito è riportato un output di esempio:

   apiVersion: v1
   items:
   - apiVersion: hub.gke.io/v1
     kind: Membership
     ...
     spec:
       owner:
         id: //gkehub.googleapis.com/projects/PROJECT_NUMBER/locations/global/memberships/my-cluster-id
   

   Nell'output di esempio, l'ID cluster è my-cluster-id.

4. Per creare l'ID risorsa, aggiungi il prefisso global. all'ID cluster. Nel esempio, l'ID risorsa è global.my-cluster-id.