Configurer l'application de la règle d'autorisation binaire

bmctl

Pour activer l'autorisation binaire lorsque vous créez un cluster avec bmctl, procédez comme suit :

1. Avant de créer votre cluster, ajoutez spec.binaryAuthorization.evaluationMode au fichier de configuration du cluster, comme illustré dans l'exemple suivant:

   ...
   ---
   apiVersion: baremetal.cluster.gke.io/v1
   kind: Cluster
   metadata:
     name: user-basic
     namespace: cluster-user-basic
   spec:
     type: user
     ...
     binaryAuthorization:
       evaluationMode: "PROJECT_SINGLETON_POLICY_ENFORCE"
   

   Les valeurs autorisées pour evaluationMode sont les suivantes :

   • PROJECT_SINGLETON_POLICY_ENFORCE : appliquez les règles spécifiées dans la stratégie d'autorisation binaire, également appelée règle Singleton de projet, sur votre projet Google Cloud afin de régir le déploiement des images de conteneurs sur votre cluster.

   • DISABLE : désactivez l'utilisation de l'autorisation binaire pour votre cluster. Il s'agit de la valeur par défaut. Si vous omettez binaryAuthorization, la fonctionnalité est désactivée.

2. Apportez les autres modifications nécessaires dans le fichier de configuration du cluster, puis exécutez la commande bmctl create cluster.

Pour en savoir plus sur la création de clusters, consultez la page Présentation de la création de clusters.

CLI gcloud

• Pour créer un cluster d'utilisateur et activer l'autorisation binaire, ajoutez l'indicateur --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE lorsque vous exécutez la commande gcloud container bare-metal clusters create.

  Cela crée un cluster d'utilisateur qui applique les règles spécifiées dans la règle d'autorisation binaire, également appelée règle Singleton de projet. Cette règle est associée à votre projet Google Cloud et spécifie les règles régissant le déploiement des images de conteneurs. Pour en savoir plus sur l'utilisation de gcloud CLI pour créer un cluster d'utilisateur, consultez Créer un cluster d'utilisateur à l'aide de clients d'API GKE On-Prem. Pour en savoir plus sur les règles et les stratégies d'autorisation binaire, consultez la présentation de l'autorisation binaire.

bmctl

• Pour activer :

  1. Modifiez le fichier de configuration du cluster pour ajouter les champs binaryAuthorization :

     ...
     ---
     apiVersion: baremetal.cluster.gke.io/v1
     kind: Cluster
     metadata:
       name: user-basic
       namespace: cluster-user-basic
     spec:
       type: user
       ...
       binaryAuthorization:
         evaluationMode: "PROJECT_SINGLETON_POLICY_ENFORCE"
     

  2. Mettez à jour le cluster :

     bmctl update cluster -c CLUSTER_NAME --admin-kubeconfig=CLUSTER_KUBECONFIG
     

     Remplacez les éléments suivants :

     • CLUSTER_NAME : nom du cluster à mettre à jour.
     • CLUSTER_KUBECONFIG: chemin d'accès au fichier kubeconfig du cluster.

  3. Attendez que le déploiement nommé binauthz-module-deployment dans l'espace de noms binauthz-system soit prêt.

     Une fois le déploiement prêt, l'autorisation binaire applique les règles spécifiées dans la stratégie d'autorisation binaire, également appelée règle Singleton de projet. Cette règle est associée à votre projet Google Cloud et spécifie les règles qui régissent le déploiement des images de conteneurs. Pour en savoir plus sur l'utilisation de bmctl pour mettre à jour un cluster, consultez Mettre à jour des clusters. Pour en savoir plus sur les règles et les stratégies d'autorisation binaire, consultez la présentation de l'autorisation binaire.

• Pour la désactiver :

  Vous pouvez désactiver cette fonctionnalité en définissant evaluationMode sur DISABLED ou en supprimant la section binaryAuthorization des spécifications du cluster. Une fois cette modification effectuée, attendez quelques minutes jusqu'à ce que le déploiement nommé binauthz-module-deployment dans l'espace de noms binauthz-system soit supprimé.

CLI gcloud

• Pour activer l'autorisation binaire pour un cluster existant, ajoutez l'indicateur --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE lorsque vous exécutez la commande gcloud container bare-metal clusters update.

  Cette opération met à jour un cluster utilisateur afin que l'autorisation binaire applique les règles spécifiées dans la stratégie d'autorisation binaire, également appelée règle singleton de projet. Cette règle est associée à votre projet Google Cloud et spécifie les règles qui régissent le déploiement des images de conteneurs. Pour en savoir plus sur l'utilisation de gcloud CLI pour mettre à jour un cluster d'utilisateur, consultez la page Mise à jour des clusters bare metal pour les conteneurs gcloud dans la documentation de référence de gcloud CLI. Pour en savoir plus sur les règles et les stratégies d'autorisation binaire, consultez la présentation de l'autorisation binaire.

• Pour désactiver l'autorisation binaire pour un cluster existant, exécutez la commande gcloud container bare-metal clusters update avec l'indicateur --binauthz-evaluation-mode=DISABLED.