הגדרה ל-GKE

בדף הזה מוסבר איך להגדיר אכיפה של Binary Authorization בסביבה שלכם לשימוש עם Google Kubernetes Engine ‏ (GKE). אפשר להגדיר את Binary Authorization באמצעות מסוף Google Cloud או Google Cloud CLI. אפשר גם לבצע חלק משלבי ההגדרה באמצעות ממשק ה-API בארכיטקטורת REST של Binary Authorization.

במדריך המלא תחילת השימוש ב-Google Cloud CLI או תחילת השימוש במסוף Google Cloud מוסבר איך לבצע את שלבי ההגדרה הבאים.

כדי להגדיר את Binary Authorization:

1. מפעילים את Binary Authorization.

2. יוצרים אשכול שבו מופעל Binary Authorization, או מפעילים את Binary Authorization באשכול קיים.

   הערה: בזמן הפריסה, Binary Authorization סורק רק תמונות בשדות containers ו-ephemeralContainers של PodSpec. המערכת לא סורקת שדות אחרים. קונטיינרים של Init ונפחי אימג'ים לא נסרקים בזמן הפריסה.

3. מגדירים את המדיניות של Binary Authorization.

   הערה: אם רוצים להשתמש באימותים, אפשר לדלג על השלב הזה.

   אפשר להגדיר את התכונות הבאות במדיניות:

   • כלל ברירת מחדל.
   • כללים ספציפיים לאשכול.
   • כללים ספציפיים לזהות השירות או למרחב השמות של Kubernetes.
   • תמונות פטורות. מידע נוסף על תמונות פטורות

4. אופציונלי: אם יש לכם פרויקטים שונים ב- Google Cloud שהם הבעלים של המדיניות או של מאגרי Container Registry, אתם צריכים להקצות את תפקידי ה-IAM שנדרשים לגישה בין פרויקטים. להוראות, קראו את המאמר הגדרת גישה לפרויקטים שונים ב-Binary Authorization ב-GKE.

5. אופציונלי: משתמשים בגורם מאמת (attestor) built-by-cloud-build כדי לפרוס רק קובצי אימג' שנוצרו על ידי Cloud Build.

6. אופציונלי: שימוש באישורים.

7. פריסת קובצי אימג' של קונטיינרים.

8. צפייה באירועים ביומני הביקורת של Cloud.