Menggunakan pemeriksaan pengesahan penandatanganan sederhana

Pratinjau

Produk atau fitur ini tunduk pada "Persyaratan Penawaran Pra-GA" di bagian Persyaratan Layanan Umum di Persyaratan Khusus Layanan. Produk dan fitur pra-GA tersedia "sebagaimana adanya" dan mungkin memiliki dukungan terbatas. Untuk mengetahui informasi selengkapnya, lihat deskripsi tahap peluncuran.

Halaman ini menunjukkan cara menggunakan pemeriksaan pengesahan penandatanganan sederhana validasi berkelanjutan (CV) Otorisasi Biner. Pemeriksaan ini memverifikasi pengesahan image container yang terkait dengan Pod yang berjalan di cluster Google Kubernetes Engine (GKE) tempat CV diaktifkan.

Biaya

Panduan ini menggunakan layanan Google Cloud berikut:

• Otorisasi Biner, tetapi CV tersedia tanpa biaya selama tahap Pratinjau
• GKE
• Cloud Key Management Service

Untuk membuat perkiraan biaya berdasarkan proyeksi penggunaan Anda, gunakan kalkulator harga.

Sebelum memulai

1. Instal Google Cloud CLI.

   Catatan: Jika Anda telah menginstal gcloud CLI sebelumnya, pastikan Anda memiliki versi terbaru dengan menjalankan gcloud components update.

2. Konfigurasi gcloud CLI agar menggunakan identitas gabungan Anda.

   Untuk mengetahui informasi selengkapnya, lihat Login ke gcloud CLI dengan identitas gabungan Anda.

3. Untuk melakukan inisialisasi gcloud CLI, jalankan perintah berikut:

   gcloud init

4. Buat atau pilih project Google Cloud .

   Peran yang diperlukan untuk memilih atau membuat project

   • Memilih project: Memilih project tidak memerlukan peran IAM tertentu—Anda dapat memilih project apa pun yang perannya telah diberikan kepada Anda.
   • Membuat project: Untuk membuat project, Anda memerlukan peran Project Creator (roles/resourcemanager.projectCreator), yang berisi izin resourcemanager.projects.create. Pelajari cara memberikan peran.
   Catatan: Jika tidak berencana untuk menyimpan resource yang Anda buat dalam prosedur ini, buatlah project, bukan memilih project yang ada. Setelah menyelesaikan langkah ini, Anda dapat menghapus project, yang akan menghapus semua resource yang terkait dengan project ini.

   • Buat project Google Cloud :

     gcloud projects create PROJECT_ID

     Ganti PROJECT_ID dengan nama untuk Google Cloud project yang Anda buat.

   • Pilih project Google Cloud yang Anda buat:

     gcloud config set project PROJECT_ID

     Ganti PROJECT_ID dengan nama project Google Cloud Anda.

5. Pastikan penagihan diaktifkan untuk project Google Cloud Anda.

6. Aktifkan API Binary Authorization, Cloud Key Management Service, dan Google Kubernetes Engine, jika belum diaktifkan:

   Peran yang diperlukan untuk mengaktifkan API

   Untuk mengaktifkan API, Anda memerlukan izin serviceusage.services.enable. Jika Anda membuat project, kemungkinan Anda sudah memiliki izin ini melalui peran Pemilik (roles/owner). Jika tidak, Anda bisa mendapatkan izin ini melalui peran Service Usage Admin (roles/serviceusage.serviceUsageAdmin). Pelajari cara memberikan peran.

   gcloud services enable binaryauthorization.googleapis.com cloudkms.googleapis.com container.googleapis.com

7. Pastikan gcloud CLI diupdate ke versi terbaru.
8. Instal alat command line kubectl.
9. Jika kebijakan Otorisasi Biner dan cluster GKE Anda berada di project yang berbeda, pastikan Otorisasi Biner diaktifkan di kedua project.

Peran yang diperlukan

Bagian ini menunjukkan cara menetapkan peran untuk pemeriksaan ini.

Ringkasan

Jika Anda menjalankan semua produk yang disebutkan dalam panduan ini di project yang sama, Anda tidak perlu menetapkan izin apa pun. Otorisasi Biner mengonfigurasi peran dengan benar saat Anda mengaktifkannya. Jika Anda menjalankan produk di project yang berbeda, Anda harus menetapkan peran seperti yang dijelaskan di bagian ini.

Untuk memastikan bahwa Agen Layanan Otorisasi Biner di setiap project memiliki izin yang diperlukan untuk mengevaluasi pemeriksaan pengesahan penandatanganan sederhana CV, minta administrator untuk memberikan peran IAM berikut kepada Agen Layanan Otorisasi Biner di setiap project:

Penting: Anda harus memberikan peran ini kepada Agen Layanan Otorisasi Biner di setiap project, bukan ke akun pengguna Anda. Kegagalan dalam memberikan peran ke akun utama yang benar dapat menyebabkan error izin.

• Jika project cluster Anda berbeda dengan project kebijakan: Binary Authorization Policy Evaluator (roles/binaryauthorization.policyEvaluator) pada Agen Layanan Otorisasi Biner project cluster, agar dapat mengakses project kebijakan
• Jika project pengesahan Anda berbeda dengan project kebijakan Anda: Container Analysis Occurrences Viewer (roles/containeranalysis.occurrences.viewer) pada Agen Layanan Otorisasi Biner project kebijakan, agar dapat mengakses project pengesahan

Untuk mengetahui informasi selengkapnya tentang pemberian peran, lihat Mengelola akses ke project, folder, dan organisasi.

Administrator Anda mungkin juga dapat memberikan izin yang diperlukan kepada Agen Layanan Otorisasi Biner di setiap project melalui peran khusus atau peran bawaan lainnya.

Memberikan peran menggunakan gcloud CLI

Untuk memastikan bahwa Agen Layanan Otorisasi Biner di setiap project memiliki izin yang diperlukan untuk mengevaluasi pemeriksaan pengesahan penandatanganan sederhana CV, berikan peran IAM berikut kepada Agen Layanan Otorisasi Biner di setiap project:

1. Berikan izin kepada Agen Layanan Otorisasi Biner project cluster untuk mengakses kebijakan di project kebijakan.

   1. Dapatkan agen layanan Otorisasi Biner project cluster:

      PROJECT_NUMBER=$(gcloud projects list --filter="projectId:CLUSTER_PROJECT_ID" \
        --format="value(PROJECT_NUMBER)")
      CLUSTER_SERVICE_ACCOUNT="service-$PROJECT_NUMBER@gcp-sa-binaryauthorization."
      

      Ganti CLUSTER_PROJECT_ID dengan project ID cluster.

   2. Izinkan CV mengevaluasi kebijakan di cluster:

      gcloud projects add-iam-policy-binding POLICY_PROJECT_ID \
          --member="serviceAccount:$CLUSTER_SERVICE_ACCOUNT" \
          --role='roles/binaryauthorization.policyEvaluator'
      

      Ganti POLICY_PROJECT_ID dengan ID project yang berisi kebijakan Anda.

   Jika Anda menerima error service account not found saat memberikan peran IAM, Anda mungkin perlu membuat agen layanan secara manual.

2. Izinkan Agen Layanan Otorisasi Biner project kebijakan untuk mengakses pengesahan di project pengesahan Anda:

   1. Dapatkan agen layanan Otorisasi Biner project kebijakan:

      PROJECT_NUMBER=$(gcloud projects list \
        --filter="projectId:POLICY_PROJECT_ID" \
        --format="value(PROJECT_NUMBER)")
      SERVICE_ACCOUNT="service-$PROJECT_NUMBER@gcp-sa-binaryauthorization."
      

      Ganti POLICY_PROJECT_ID dengan ID project yang berisi kebijakan Anda.

   2. Berikan peran:

      gcloud projects add-iam-policy-binding ATTESTATION_PROJECT_ID \
          --member="serviceAccount:$SERVICE_ACCOUNT" \
          --role='roles/containeranalysis.occurrences.viewer'
      

      Ganti ATTESTATION_PROJECT_ID dengan ID project yang berisi pengesahan Anda.

Membuat pasangan kunci

Di bagian ini, Anda akan membuat pasangan kunci asimetris Algoritma Tanda Tangan Digital Kurva Eliptik (ECDSA).

Anda menggunakan kunci pribadi untuk menandatangani image, yang membuat pengesahan. Anda menyertakan kunci publik dalam kebijakan platform. Saat CV memeriksa pengesahan, CV menggunakan kunci publik untuk memverifikasi pengesahan.

Anda dapat menggunakan Cloud Key Management Service atau kunci lokal, tetapi sebaiknya gunakan kunci Cloud KMS untuk produksi.

PKIX Cloud KMS

Untuk membuat pasangan kunci di Cloud KMS, lakukan hal berikut:

1. Siapkan variabel lingkungan yang diperlukan untuk membuat pasangan kunci. Untuk melakukannya, sebaiknya isi placeholder dalam perintah berikut, lalu jalankan perintah tersebut.

   KMS_KEY_PROJECT_ID=KMS_KEY_PROJECT_ID
   KMS_KEYRING_NAME=KMS_KEYRING_NAME
   KMS_KEY_NAME=KMS_KEY_NAME
   KMS_KEY_LOCATION=global
   KMS_KEY_PURPOSE=asymmetric-signing
   KMS_KEY_ALGORITHM=ec-sign-p256-sha256
   KMS_PROTECTION_LEVEL=software
   KMS_KEY_VERSION=1
   KEY_FILE=KEY_FILE
   

   Ganti kode berikut:

   • KMS_KEY_PROJECT_ID: project ID Anda
   • KMS_KEYRING_NAME: nama untuk key ring Cloud KMS Anda
   • KMS_KEY_NAME: nama untuk kunci Cloud KMS Anda
   • KEY_FILE: jalur lokal untuk menyimpan kunci Cloud KMS Anda

2. Buat key ring:

   gcloud kms keyrings create ${KMS_KEYRING_NAME} \
       --location=${KMS_KEY_LOCATION} \
       --project=${KMS_KEY_PROJECT_ID}
   

3. Buat kunci:

   gcloud kms keys create ${KMS_KEY_NAME} \
       --location=${KMS_KEY_LOCATION} \
       --keyring=${KMS_KEYRING_NAME}  \
       --purpose=${KMS_KEY_PURPOSE} \
       --default-algorithm=${KMS_KEY_ALGORITHM} \
       --protection-level=${KMS_PROTECTION_LEVEL} \
       --project=${KMS_KEY_PROJECT_ID}
   

4. Ekspor materi kunci publik ke file:

   gcloud kms keys versions get-public-key ${KMS_KEY_VERSION} \
       --key=${KMS_KEY_NAME} \
       --keyring=${KMS_KEYRING_NAME} \
       --location=${KMS_KEY_LOCATION} \
       --output-file=${KEY_FILE} \
       --project=${KMS_KEY_PROJECT_ID}
   

Kunci lokal

Peringatan: Sebaiknya jangan gunakan key pair yang dibuat secara lokal di lingkungan produksi karena dapat menimbulkan risiko keamanan. Sebaiknya gunakan Cloud Key Management Service. Contoh ini diberikan hanya untuk tujuan ilustrasi.

Untuk membuat pasangan kunci secara lokal, lakukan hal berikut:

1. Buat kunci pribadi:

   PRIVATE_KEY_FILE="/tmp/ec_private.pem"
   openssl ecparam -genkey -name prime256v1 -noout -out ${PRIVATE_KEY_FILE}
   

2. Dapatkan kunci publik dari kunci pribadi:

   PUBLIC_KEY_FILE="/tmp/ec_public.pem"
   openssl ec -in ${PRIVATE_KEY_FILE} -pubout -out ${PUBLIC_KEY_FILE}
   

Membuat kebijakan platform

Untuk membuat kebijakan platform CV dengan pemeriksaan pengesahan penandatanganan sederhana, lakukan hal berikut:

1. Buat file YAML kebijakan platform pemeriksaan pengesahan penandatanganan sederhana:

   PKIX Cloud KMS

   cat > /tmp/my-policy.yaml << EOF
   gkePolicy:
     checkSets:
     - checks:
       - simpleSigningAttestationCheck:
           containerAnalysisAttestationProjects:
           - projects/ATTESTATION_PROJECT_ID
           attestationAuthenticators:
             pkixPublicKeySet:
               pkixPublicKeys:
                 publicKeyPem: |
   $(awk '{printf "                %s\n", $0}' ${KEY_FILE})
                 signatureAlgorithm: ECDSA_P256_SHA256
                 keyId: |-
                   //cloudkms.googleapis.com/v1/projects/${KMS_KEY_PROJECT_ID}/locations/${KMS_KEY_LOCATION}/keyRings/${KMS_KEYRING_NAME}/cryptoKeys/${KMS_KEY_NAME}/cryptoKeyVersions/${KMS_KEY_VERSION}
   EOF
   

   Ganti ATTESTATION_PROJECT_ID dengan ID project yang menyimpan pengesahan yang dibuat menggunakan kunci Cloud KMS ini.

   Kunci lokal

   cat > /tmp/my-policy.yaml <<EOF
   gkePolicy:
     checkSets:
     - checks:
       - simpleSigningAttestationCheck:
           containerAnalysisAttestationProjects:
           - projects/ATTESTATION_PROJECT_ID
           attestationAuthenticators:
             pkixPublicKeySet:
               pkixPublicKeys:
                 publicKeyPem: |
   $(awk '{printf "                %s\n", $0}' /tmp/ec_public.pem)
                 signatureAlgorithm: ECDSA_P256_SHA256
                 keyId: |
                   PUBLIC_KEY_ID
   EOF
   

   Ganti kode berikut:

   • ATTESTATION_PROJECT_ID: ID project yang menyimpan pengesahan yang dibuat menggunakan kunci lokal Anda
   • PUBLIC_KEY_ID: ID yang secara unik mengidentifikasi kunci lokal Anda

2. Buat kebijakan platform:

   Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

   • POLICY_ID: ID kebijakan platform pilihan Anda. Jika kebijakan berada di project lain, Anda dapat menggunakan nama resource lengkap: projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID.
   • POLICY_PATH: Jalur ke file kebijakan.
   • POLICY_PROJECT_ID: Project ID kebijakan.

   Jalankan perintah berikut:

   Linux, macOS, atau Cloud Shell

   Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

   gcloud beta container binauthz policy create POLICY_ID \
       --platform=gke \
       --policy-file=POLICY_PATH \
       --project=POLICY_PROJECT_ID

   Windows (PowerShell)

   Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

   gcloud beta container binauthz policy create POLICY_ID `
       --platform=gke `
       --policy-file=POLICY_PATH `
       --project=POLICY_PROJECT_ID

   Windows (cmd.exe)

   Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

   gcloud beta container binauthz policy create POLICY_ID ^
       --platform=gke ^
       --policy-file=POLICY_PATH ^
       --project=POLICY_PROJECT_ID

3. Simpan nilai ID untuk digunakan nanti:

   PUBLIC_KEY_ID="PUBLIC_KEY_ID"
   

   Ganti PUBLIC_KEY_ID dengan ID yang Anda tentukan di kolom keyId dalam file kebijakan platform sebelumnya dalam panduan ini.

   Kunci pribadi digunakan saat pengesahan dibuat, seperti yang dijelaskan nanti dalam panduan ini.

Mengaktifkan CV

Anda dapat membuat cluster baru atau mengupdate cluster yang ada untuk menggunakan pemantauan CV dengan kebijakan platform berbasis pemeriksaan.

Membuat cluster yang menggunakan pemantauan CV

Di bagian ini, Anda akan membuat cluster yang hanya menggunakan pemantauan CV dengan kebijakan platform berbasis pemeriksaan.

Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

• CLUSTER_NAME: nama cluster.
• LOCATION: lokasi—misalnya, us-central1 atau asia-south1.
• POLICY_PROJECT_ID: ID project tempat kebijakan disimpan.
• POLICY_ID: ID kebijakan.
• CLUSTER_PROJECT_ID: project ID cluster.

Jalankan perintah berikut:

Linux, macOS, atau Cloud Shell

Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

gcloud beta container clusters create CLUSTER_NAME \
    --location=LOCATION \
    --binauthz-evaluation-mode=POLICY_BINDINGS \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
    --project=CLUSTER_PROJECT_ID

Windows (PowerShell)

Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

gcloud beta container clusters create CLUSTER_NAME `
    --location=LOCATION `
    --binauthz-evaluation-mode=POLICY_BINDINGS `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
    --project=CLUSTER_PROJECT_ID

Windows (cmd.exe)

Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

gcloud beta container clusters create CLUSTER_NAME ^
    --location=LOCATION ^
    --binauthz-evaluation-mode=POLICY_BINDINGS ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
    --project=CLUSTER_PROJECT_ID

Membuat cluster yang menggunakan penerapan dan pemantauan CV

Di bagian ini, Anda akan membuat cluster yang menggunakan penegakan kebijakan project-singleton dan pemantauan CV dengan kebijakan platform berbasis pemeriksaan:

Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

• CLUSTER_NAME: nama cluster.
• LOCATION: lokasi—misalnya, us-central1 atau asia-south1.
• POLICY_PROJECT_ID: ID project tempat kebijakan disimpan.
• POLICY_ID: ID kebijakan.
• CLUSTER_PROJECT_ID: project ID cluster.

Jalankan perintah berikut:

Linux, macOS, atau Cloud Shell

Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

gcloud beta container clusters create CLUSTER_NAME \
    --location=LOCATION \
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
    --project=CLUSTER_PROJECT_ID

Windows (PowerShell)

Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

gcloud beta container clusters create CLUSTER_NAME `
    --location=LOCATION `
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
    --project=CLUSTER_PROJECT_ID

Windows (cmd.exe)

Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

gcloud beta container clusters create CLUSTER_NAME ^
    --location=LOCATION ^
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
    --project=CLUSTER_PROJECT_ID

Mengupdate cluster untuk menggunakan pemantauan CV

Di bagian ini, Anda akan mengupdate cluster untuk menggunakan pemantauan CV dengan kebijakan platform berbasis pemeriksaan saja. Jika cluster sudah mengaktifkan penegakan kebijakan singleton project, menjalankan perintah ini akan menonaktifkannya. Sebagai gantinya, pertimbangkan untuk mengupdate cluster dengan mengaktifkan penegakan dan pemantauan CV.

Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

• CLUSTER_NAME: nama cluster
• LOCATION: lokasi—misalnya: us-central1 atau asia-south1
• POLICY_PROJECT_ID: ID project tempat kebijakan disimpan
• POLICY_ID: ID kebijakan
• CLUSTER_PROJECT_ID: project ID cluster

Jalankan perintah berikut:

Linux, macOS, atau Cloud Shell

Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

gcloud beta container clusters update CLUSTER_NAME \
    --location=LOCATION \
    --binauthz-evaluation-mode=POLICY_BINDINGS \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
    --project=CLUSTER_PROJECT_ID

Windows (PowerShell)

Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

gcloud beta container clusters update CLUSTER_NAME `
    --location=LOCATION `
    --binauthz-evaluation-mode=POLICY_BINDINGS `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
    --project=CLUSTER_PROJECT_ID

Windows (cmd.exe)

Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

gcloud beta container clusters update CLUSTER_NAME ^
    --location=LOCATION ^
    --binauthz-evaluation-mode=POLICY_BINDINGS ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
    --project=CLUSTER_PROJECT_ID

Mengupdate cluster untuk menggunakan penegakan dan pemantauan CV

Di bagian ini, Anda akan mengupdate cluster untuk menggunakan penegakan kebijakan singleton project dan pemantauan CV dengan kebijakan platform berbasis pemeriksaan.

Sebelum menggunakan salah satu data perintah di bawah, lakukan penggantian berikut:

• CLUSTER_NAME: nama cluster
• LOCATION: lokasi—misalnya: us-central1 atau asia-south1
• POLICY_PROJECT_ID: ID project tempat kebijakan disimpan
• POLICY_ID: ID kebijakan
• CLUSTER_PROJECT_ID: project ID cluster

Jalankan perintah berikut:

Linux, macOS, atau Cloud Shell

Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

gcloud beta container clusters update CLUSTER_NAME \
    --location=LOCATION \
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE \
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID \
    --project=CLUSTER_PROJECT_ID

Windows (PowerShell)

Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

gcloud beta container clusters update CLUSTER_NAME `
    --location=LOCATION `
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE `
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID `
    --project=CLUSTER_PROJECT_ID

Windows (cmd.exe)

Catatan: Pastikan Anda telah menginisialisasi Google Cloud CLI dengan autentikasi dan sebuah project dengan menjalankan gcloud init; atau gcloud auth login dan gcloud config set project.

gcloud beta container clusters update CLUSTER_NAME ^
    --location=LOCATION ^
    --binauthz-evaluation-mode=POLICY_BINDINGS_AND_PROJECT_SINGLETON_POLICY_ENFORCE ^
    --binauthz-policy-bindings=name=projects/POLICY_PROJECT_ID/platforms/gke/policies/POLICY_ID ^
    --project=CLUSTER_PROJECT_ID

Membuat catatan Artifact Analysis

Di bagian ini, Anda akan membuat contoh catatan Artifact Analysis untuk menautkan pengesahan. Untuk membuat catatan, lakukan tindakan berikut:

1. Buat variabel catatan:

   NOTE_PROJECT_ID=NOTE_PROJECT_ID
   NOTE_ID="test-note"
   NOTE_URI="projects/${NOTE_PROJECT_ID}/notes/${NOTE_ID}"
   DESCRIPTION="CV test note"
   

   Ganti NOTE_PROJECT_ID: ID project yang berisi catatan.

2. Buat file konten catatan:

   cat > /tmp/note_payload.json << EOM
   {
     "name": "${NOTE_URI}",
     "attestation": {
       "hint": {
         "human_readable_name": "${DESCRIPTION}"
       }
     }
   }
   EOM
   

3. Buat catatan:

   curl -X POST \
       -H "Content-Type: application/json" \
       -H "Authorization: Bearer $(gcloud auth print-access-token)"  \
       -H "x-goog-user-project: ${NOTE_PROJECT_ID}" \
       --data-binary @/tmp/note_payload.json "https://containeranalysis.googleapis.com/v1/projects/${NOTE_PROJECT_ID}/notes/?noteId=${NOTE_ID}"
   

   Ganti NOTE_PROJECT_ID: ID project yang berisi catatan

   Perhatian: Otorisasi Biner tidak mendukung penyimpanan regional atau endpoint regional Artifact Analysis. Sebaiknya gunakan endpoint API global Artifact Analysis (https://containeranalysis.googleapis.com/).

4. Opsional: Untuk memverifikasi bahwa Anda telah membuat catatan:

   curl \
       -H "Authorization: Bearer $(gcloud auth print-access-token)"  \
       -H "x-goog-user-project: NOTE_PROJECT_ID" \
   "https://containeranalysis.googleapis.com/v1/projects/NOTE_PROJECT_ID/notes/"
   

   Ganti NOTE_PROJECT_ID dengan ID project yang berisi catatan.

CV Pengujian

Di bagian ini, Anda akan menguji CV dengan men-deploy image yang telah Anda buat attestations-nya. Dalam hal ini, pemeriksaan pengesahan penandatanganan sederhana CV memverifikasi pengesahan dan tidak menghasilkan entri log.

Kemudian, Anda mencoba men-deploy image lain yang tidak memiliki pengesahan. Dalam hal ini, pemeriksaan CV tidak dapat menemukan pengesahan dan mencatat pelanggaran ke Cloud Logging.

Untuk membuat variabel yang Anda gunakan untuk menguji CV, jalankan perintah berikut:

IMAGE_PATH="us-docker.pkg.dev/google-samples/containers/gke/hello-app"
IMAGE_DIGEST="sha256:37e5287945774f27b418ce567cd77f4bbc9ef44a1bcd1a2312369f31f9cce567"
IMAGE_TO_ATTEST="${IMAGE_PATH}@${IMAGE_DIGEST}"

Membuat pengesahan

Untuk memenuhi pemeriksaan pengesahan penandatanganan sederhana, image memerlukan pengesahan yang valid.

Anda dapat membuat pengesahan menggunakan gcloud CLI atau REST API.

PKIX Cloud KMS

gcloud

Untuk membuat pengesahan menggunakan gcloud CLI, lakukan hal berikut:

1. Tanda tangani image dan buat pengesahan menggunakan Pre-Authentication Encoding (PAE) (direkomendasikan):

   gcloud beta container binauthz attestations sign-and-create \
       --artifact-url=${IMAGE_TO_ATTEST} \
       --keyversion=${KMS_KEY_VERSION} \
       --keyversion-key=${KMS_KEY_NAME} \
       --keyversion-keyring=${KMS_KEYRING_NAME} \
       --keyversion-location=${KMS_KEY_LOCATION} \
       --note=${NOTE_URI} \
       --pae-encode-payload \
       --dsse-type=DSSE_TYPE
   

   Ganti DSSE_TYPE dengan jenis DSSE untuk encoding PAE. Flag ditetapkan secara default ke application/vnd.dev.cosign.simplesigning.v1+json.

REST API

Untuk membuat pengesahan menggunakan REST API, lakukan hal berikut:

1. Buat file payload tanda tangan:

   cat > /tmp/generated_payload.json << EOM
   {
     "critical": {
       "identity": {
         "docker-reference": "${IMAGE_PATH}"
       },
       "image": {
         "docker-manifest-digest": "${IMAGE_DIGEST}"
       },
       "type": "Google Cloud BinAuthz container signature"
     }
   }
   EOM
   

2. Tanda tangani payload:

   gcloud kms asymmetric-sign \
       --version=${KMS_KEY_VERSION} \
       --key=${KMS_KEY_NAME} \
       --keyring=${KMS_KEYRING_NAME} \
       --location=${KMS_KEY_LOCATION} \
       --digest-algorithm=sha256 \
       --input-file=/tmp/generated_payload.json \
       --signature-file=/tmp/ec_signature \
       --project=${KMS_KEY_PROJECT_ID}
   

3. Buat konten pengesahan:

   cat > /tmp/attestation.json << EOM
   {
   "resourceUri": "${IMAGE_TO_ATTEST}",
   "note_name": "${NOTE_URI}",
   "attestation": {
     "serialized_payload": "$(base64 --wrap=0 /tmp/generated_payload.json)",
     "signatures": [{
       "public_key_id": "${PUBLIC_KEY_ID}",
       "signature": "$(base64 --wrap=0 /tmp/ec_signature)"
     }]
   }
   }
   EOM
   

4. Buat pengesahan:

   curl -X POST "https://containeranalysis.googleapis.com/v1/projects/${NOTE_PROJECT_ID}/occurrences/" \
     -H "Content-Type: application/json" \
     -H "X-Goog-User-Project: ${NOTE_PROJECT_ID}" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     --data-binary @/tmp/attestation.json
   

   Ganti NOTE_PROJECT_ID dengan ID project yang berisi catatan.

Kunci lokal

gcloud

1. Buat file payload tanda tangan:

   cat > /tmp/generated_payload.json << EOM
   {
     "critical": {
       "identity": {
         "docker-reference": "${IMAGE_PATH}"
       },
       "image": {
         "docker-manifest-digest": "${IMAGE_DIGEST}"
       },
       "type": "Google Cloud BinAuthz container signature"
     }
   }
   EOM
   

2. Buat file payload tanda tangan:

   openssl dgst -sha256 -sign ${PRIVATE_KEY_FILE} /tmp/generated_payload.json > /tmp/ec_signature
   

3. Buat pengesahan:

   gcloud container binauthz attestations create \
       --project=ATTESTATION_PROJECT_ID \
       --artifact-url=${IMAGE_TO_ATTEST} \
       --note=${NOTE_URI} \
       --signature-file=/tmp/ec_signature \
       --public-key-id=PUBLIC_KEY_ID
   

REST API

1. Buat file payload tanda tangan:

   cat > /tmp/generated_payload.json << EOM
   {
     "critical": {
       "identity": {
         "docker-reference": "${IMAGE_PATH}"
       },
       "image": {
         "docker-manifest-digest": "${IMAGE_DIGEST}"
       },
       "type": "Google Cloud BinAuthz container signature"
     }
   }
   EOM
   

2. Buat file payload tanda tangan:

   openssl dgst -sha256 -sign ${PRIVATE_KEY_FILE} /tmp/generated_payload.json > /tmp/ec_signature
   

3. Buat konten pengesahan:

   cat > /tmp/attestation.json << EOM
   {
   "resourceUri": "${IMAGE_TO_ATTEST}",
   "note_name": "${NOTE_URI}",
   "attestation": {
     "serialized_payload": "$(base64 --wrap=0 /tmp/generated_payload.json)",
     "signatures": [{
       "public_key_id": "${PUBLIC_KEY_ID}",
       "signature": "$(base64 --wrap=0 /tmp/ec_signature)"
     }]
   }
   }
   EOM
   

4. Buat pengesahan:

   curl -X POST "https://containeranalysis.googleapis.com/v1/projects/${NOTE_PROJECT_ID}/occurrences/" \
     -H "Content-Type: application/json" \
     -H "X-Goog-User-Project: ${NOTE_PROJECT_ID}" \
     -H "Authorization: Bearer $(gcloud auth print-access-token)" \
     --data-binary @/tmp/attestation.json
   

Men-deploy image yang memiliki pengesahan

Untuk men-deploy image yang pengesahannya telah dibuat, lakukan hal berikut:

1. Konfigurasikan kubectl:

   gcloud container clusters get-credentials CLUSTER_NAME \
       --location=LOCATION \
       --project=CLUSTER_PROJECT_ID
   

   Ganti kode berikut:

   • CLUSTER_NAME: nama cluster Anda
   • LOCATION: lokasi cluster
   • CLUSTER_PROJECT_ID: project ID cluster

2. Deploy layanan dan periksa deployment terhadap kebijakan Otorisasi Biner:

   kubectl run hello-app-with-attestation --image=$IMAGE_PATH@$IMAGE_DIGEST
   

   Pod telah di-deploy. Karena image memiliki pengesahan, CV tidak menghasilkan entri log yang terkait dengan Pod ini.

Men-deploy image tanpa pengesahan

Di bagian ini, Anda akan men-deploy image yang tidak memiliki pengesahan terkait.

Karena kebijakan memerlukan pengesahan dan image ini tidak memilikinya, CV secara rutin mencatat pelanggaran ke dalam log saat container berjalan.

Untuk men-deploy image, jalankan perintah berikut:

kubectl run hello-app-without-attestation \
   --image=$IMAGE_PATH@$IMAGE_DIGEST

Pod telah di-deploy. Karena image tidak memiliki pengesahan, CV akan menghasilkan entri log saat Pod berjalan.

Melihat log untuk entri CV

Anda dapat menelusuri entri Cloud Logging untuk menemukan error konfigurasi CV dan pelanggaran validasi kebijakan platform CV.

CV mencatat error dan pelanggaran ke Cloud Logging dalam waktu 24 jam. Anda biasanya dapat melihat entri dalam beberapa jam.

Melihat log error konfigurasi CV

Untuk melihat log error konfigurasi CV, jalankan perintah berikut:

gcloud logging read \
     --order="desc" \
     --freshness=7d \
     --project=CLUSTER_PROJECT_ID \
    'logName:"binaryauthorization.googleapis.com%2Fcontinuous_validation" "configErrorEvent"'

Output berikut menunjukkan error konfigurasi saat kebijakan platform CV tidak ditemukan:

{
  "insertId": "141d4f10-72ea-4a43-b3ec-a03da623de42",
  "jsonPayload": {
    "@type": "type.googleapis.com/google.cloud.binaryauthorization.v1beta1.ContinuousValidationEvent",
    "configErrorEvent": {
      "description": "Cannot monitor cluster 'us-central1-c.my-cluster': Resource projects/123456789/platforms/gke/policies/my-policy does not exist."
    }
  },
  "resource": {
    "type": "k8s_cluster",
    "labels": {
      "cluster_name": "my-cluster",
      "location": "us-central1-c",
      "project_id": "my-project"
    }
  },
  "timestamp": "2024-05-28T15:31:03.999566Z",
  "severity": "WARNING",
  "logName": "projects/my-project/logs/binaryauthorization.googleapis.com%2Fcontinuous_validation",
  "receiveTimestamp": "2024-05-28T16:30:56.304108670Z"
}

Melihat pelanggaran validasi kebijakan platform CV

Jika tidak ada gambar yang melanggar kebijakan platform yang telah Anda aktifkan, tidak akan ada entri yang muncul di log.

Untuk melihat entri log CV selama tujuh hari terakhir, jalankan perintah berikut:

gcloud logging read \
     --order="desc" \
     --freshness=7d \
     --project=CLUSTER_PROJECT_ID \
    'logName:"binaryauthorization.googleapis.com%2Fcontinuous_validation" "policyName"'

Ganti CLUSTER_PROJECT_ID dengan project ID cluster.

Jenis pemeriksaan

CV mencatat informasi pelanggaran pemeriksaan ke checkResults. Dalam entri, nilai checkType menunjukkan pemeriksaan. Nilai untuk setiap pemeriksaan adalah sebagai berikut:

• ImageFreshnessCheck
• SigstoreSignatureCheck
• SimpleSigningAttestationCheck
• SlsaCheck
• TrustedDirectoryCheck
• VulnerabilityCheck

Contoh log

Contoh entri Logging CV berikut menjelaskan image yang tidak sesuai dan melanggar pemeriksaan direktori tepercaya:

{
  "insertId": "637c2de7-0000-2b64-b671-24058876bb74",
  "jsonPayload": {
    "podEvent": {
      "endTime": "2022-11-22T01:14:30.430151Z",
      "policyName": "projects/123456789/platforms/gke/policies/my-policy",
      "images": [
        {
          "result": "DENY",
          "checkResults": [
            {
              "explanation": "TrustedDirectoryCheck at index 0 with display name \"My trusted directory check\" has verdict NOT_CONFORMANT. Image is not in a trusted directory",
              "checkSetName": "My check set",
              "checkSetIndex": "0",
              "checkName": "My trusted directory check",
              "verdict": "NON_CONFORMANT",
              "checkType": "TrustedDirectoryCheck",
              "checkIndex": "0"
            }
          ],
          "image": "gcr.io/my-project/hello-app:latest"
        }
      ],
      "verdict": "VIOLATES_POLICY",
      "podNamespace": "default",
      "deployTime": "2022-11-22T01:06:53Z",
      "pod": "hello-app"
    },
    "@type": "type.googleapis.com/google.cloud.binaryauthorization.v1beta1.ContinuousValidationEvent"
  },
  "resource": {
    "type": "k8s_cluster",
    "labels": {
      "project_id": "my-project",
      "location": "us-central1-a",
      "cluster_name": "my-test-cluster"
    }
  },
  "timestamp": "2022-11-22T01:44:28.729881832Z",
  "severity": "WARNING",
  "logName": "projects/my-project/logs/binaryauthorization.googleapis.com%2Fcontinuous_validation",
  "receiveTimestamp": "2022-11-22T03:35:47.171905337Z"
}

Pembersihan

Bagian ini menjelaskan cara membersihkan pemantauan CV yang Anda konfigurasi sebelumnya dalam panduan ini.

Anda dapat menonaktifkan pemantauan CV atau Otorisasi Biner dan CV di cluster Anda.

Menonaktifkan Otorisasi Biner di cluster

Untuk menonaktifkan penerapan CV dan Otorisasi Biner di cluster Anda, jalankan perintah berikut:

gcloud beta container clusters update CLUSTER_NAME \
    --binauthz-evaluation-mode=DISABLED \
    --location=LOCATION \
    --project=CLUSTER_PROJECT_ID

Ganti kode berikut:

• CLUSTER_NAME: nama cluster
• LOCATION: lokasi cluster
• CLUSTER_PROJECT_ID: project ID cluster

Menonaktifkan pemantauan kebijakan berbasis pemeriksaan di cluster

Untuk menonaktifkan CV dengan kebijakan berbasis pemeriksaan di cluster, dan mengaktifkan kembali penegakan menggunakan kebijakan penegakan Otorisasi Biner, jalankan perintah berikut:

gcloud beta container clusters update CLUSTER_NAME  \
    --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \
    --location=LOCATION \
    --project="CLUSTER_PROJECT_ID"

Ganti kode berikut:

• CLUSTER_NAME: nama cluster
• LOCATION: lokasi cluster
• CLUSTER_PROJECT_ID: project ID cluster

Perhatikan bahwa --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE setara dengan flag lama --enable-binauthz.

Menghapus kebijakan

Untuk menghapus kebijakan, jalankan perintah berikut. Anda tidak perlu menghapus kebijakan platform berbasis pemeriksaan untuk menonaktifkan audit kebijakan berbasis pemeriksaan.

gcloud beta container binauthz policy delete POLICY_ID \
    --platform=gke \
    --project="POLICY_PROJECT_ID"

Ganti kode berikut:

• POLICY_ID: ID kebijakan
• POLICY_PROJECT_ID: ID project kebijakan

Langkah berikutnya

• Menggunakan pemeriksaan keaktualan gambar
• Menggunakan pemeriksaan pengesahan penandatanganan sederhana
• Menggunakan pemeriksaan tanda tangan Sigstore
• Menggunakan pemeriksaan SLSA
• Menggunakan pemeriksaan direktori tepercaya
• Menggunakan pemeriksaan kerentanan
• Melihat log CV