設定二進位授權政策的強制執行機制

gkectl

如要在使用 gkectl 建立叢集時啟用二進位授權，請按照下列步驟操作：

1. 建立叢集前，請將 binaryAuthorization.evaluationMode 新增至使用者叢集設定檔，如下列範例所示：

   ...
   binaryAuthorization:
     evaluationMode: "project_singleton_policy_enforce"
   ...
   

   evaluationMode 的有效值如下：

   • project_singleton_policy_enforce：在 Google Cloud 專案中強制執行二進位授權政策 (也稱為專案單一政策)，控管叢集中的容器映像檔部署作業。

   • disabled：停用叢集的二進位授權。 這是預設值。如果省略 binaryAuthorization，這項功能就會停用。

2. 在叢集設定檔中進行任何其他必要變更，然後執行 gkectl create cluster 指令。

如要進一步瞭解如何建立叢集，請參閱「Google Distributed Cloud 安裝總覽」。

gkectl

• 啟用方式：

  1. 編輯叢集設定檔，新增 binaryAuthorization 欄位：

     ...
     binaryAuthorization:
       evaluationMode: "project_singleton_policy_enforce"
     

  2. 更新叢集：

     gkectl update cluster \
       --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
       --config USER_CLUSTER_CONFIG_FILE \
       --force

     更改下列內容：

     • ADMIN_CLUSTER_KUBECONFIG：管理員叢集 kubeconfig 檔案的路徑
     • USER_CLUSTER_CONFIG_FILE：使用者叢集設定檔的路徑。

  3. 等待 binauthz-system 命名空間中名為 binauthz-module-deployment 的 Deployment 準備就緒。

     準備好部署時，二進位授權會強制執行二進位授權政策中指定的規則，也就是專案單例政策。這項政策與您的Google Cloud 專案相關聯，並指定容器映像檔部署作業的控管規則。如要進一步瞭解如何使用 gkectl 更新叢集，請參閱「更新叢集」。如要進一步瞭解二進位授權政策和規則，請參閱二進位授權總覽。

• 如要停用，請按照下列步驟操作：

  1. 編輯叢集設定檔，然後移除 binaryAuthorization 區段，或將 evaluationMode 設為 disabled。

     ...
     binaryAuthorization:
       evaluationMode: "disabled"
     

  2. 更新叢集：

     gkectl update cluster \
       --kubeconfig ADMIN_CLUSTER_KUBECONFIG \
       --config USER_CLUSTER_CONFIG_FILE \
       --force

  完成這項變更後，請稍候幾分鐘，直到 binauthz-system 命名空間中名為 binauthz-module-deployment 的 Deployment 移除為止。