Binary Authorization ポリシーの適用を設定する

bmctl

bmctl を使用してクラスタを作成するときに Binary Authorization を有効にするには:

1. クラスタを作成する前に、次の例に示すように、クラスタ構成ファイルに spec.binaryAuthorization.evaluationMode を追加します。

   ...
   ---
   apiVersion: baremetal.cluster.gke.io/v1
   kind: Cluster
   metadata:
     name: user-basic
     namespace: cluster-user-basic
   spec:
     type: user
     ...
     binaryAuthorization:
       evaluationMode: "PROJECT_SINGLETON_POLICY_ENFORCE"
   

   evaluationMode に指定できる値は以下のとおりです。

   • PROJECT_SINGLETON_POLICY_ENFORCE: Binary Authorization ポリシーで指定されたルール（プロジェクトのシングルトン ポリシーとも呼ばれます）を Google Cloud プロジェクトに適用してクラスタ上のコンテナ イメージのデプロイを管理します。

   • DISABLE: クラスタで Binary Authorization の使用を無効にします。これがデフォルト値です。 binaryAuthorization を省略すると、この機能は無効になります。

2. クラスタ構成ファイルに必要な他の変更を行い、bmctl create cluster コマンドを実行します。

クラスタを作成する詳細については、クラスタの作成の概要をご覧ください。

gcloud CLI

• ユーザー クラスタを作成して Binary Authorization を有効にするには、gcloud container bare-metal clusters create コマンドを実行するときに --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE フラグを追加します。

  これは、Binary Authorization ポリシーで指定されたルール（プロジェクト シングルトン ポリシー）を適用するユーザー クラスタを作成します。このポリシーは、Google Cloud プロジェクトに関連付けられ、コンテナ イメージのデプロイを管理するルールを指定します。gcloud CLI を使用してユーザー クラスタを作成する方法については、GKE On-Prem API クライアントを使用してユーザー クラスタを作成するをご覧ください。Binary Authorization ポリシーとルールについては、Binary Authorization の概要をご覧ください。

bmctl

• 有効にするには:

  1. クラスタ構成ファイルを編集して、binaryAuthorization フィールドを追加します。

     ...
     ---
     apiVersion: baremetal.cluster.gke.io/v1
     kind: Cluster
     metadata:
       name: user-basic
       namespace: cluster-user-basic
     spec:
       type: user
       ...
       binaryAuthorization:
         evaluationMode: "PROJECT_SINGLETON_POLICY_ENFORCE"
     

  2. クラスタを更新します。

     bmctl update cluster -c CLUSTER_NAME --admin-kubeconfig=CLUSTER_KUBECONFIG
     

     次のように置き換えます。

     • CLUSTER_NAME: 更新するクラスタの名前。
     • CLUSTER_KUBECONFIG: クラスタの kubeconfig ファイルへのパス。

  3. binauthz-system Namespace の binauthz-module-deployment という名前の Deployment の準備が整うまで待ちます。

     デプロイの準備が整うと、Binary Authorization は Binary Authorization ポリシー（プロジェクト シングルトン ポリシーとも呼ばれる）で指定されたルールを適用します。このポリシーは、Google Cloud プロジェクトに関連付けられ、コンテナ イメージのデプロイを管理するルールを指定します。bmctl を使用したクラスタの更新について詳しくは、クラスタを更新するをご覧ください。 Binary Authorization ポリシーとルールについては、Binary Authorization の概要をご覧ください。

• 無効にするには:

  この機能をオフにするには、evaluationMode を DISABLED に設定するか、クラスタ仕様から binaryAuthorization セクションを削除します。この変更を行ったら、binauthz-system Namespace の binauthz-module-deployment という名前の Deployment が削除されるまで数分待ちます。

gcloud CLI

• 既存のクラスタに対して Binary Authorization を有効にするには、gcloud container bare-metal clusters update コマンドを実行するときに --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE フラグを加えます。

  これにより、ユーザー クラスタが更新され、Binary Authorization は Binary Authorization ポリシー（シングルトン ポリシー）で指定されたルールを適用します。このポリシーは、Google Cloud プロジェクトに関連付けられ、コンテナ イメージのデプロイを管理するルールを指定します。gcloud CLI を使用してユーザー クラスタを更新する詳細については、gcloud CLI リファレンスの gcloud container bare-metal clusters update をご覧ください。Binary Authorization ポリシーとルールについては、Binary Authorization の概要をご覧ください。

• 既存のクラスタに対して Binary Authorization を無効にするには、--binauthz-evaluation-mode=DISABLED フラグを指定して gcloud container bare-metal clusters update コマンドを実行します。