設定 GKE

本頁面概略說明如何在環境中設定二進位授權強制執行，以便與 Google Kubernetes Engine (GKE) 搭配使用。您可以使用 Google Cloud 控制台或 Google Cloud CLI 設定二進位授權。您也可以使用二進位授權 REST API 執行部分設定步驟。

如需包含下列設定步驟的端對端教學課程，請參閱「開始使用 Google Cloud CLI」或「開始使用 Google Cloud 控制台」。

如要設定二進位授權，請按照下列步驟操作：

1. 啟用二進位授權。

2. 建立已啟用二進位授權的叢集，或在現有叢集上啟用二進位授權。

   注意： 部署時，二進位授權只會掃描 PodSpec 的 containers 和 ephemeralContainers 欄位中的映像檔。系統不會掃描其他欄位。部署時不會掃描初始化容器和映像檔磁碟區。

3. 設定二進位授權政策。

   注意： 如要使用認證，請略過這個步驟。

   您可以在政策中設定下列功能：

   • 預設規則。
   • 叢集專屬規則。
   • Kubernetes 服務身分或命名空間的特定規則。
   • 豁免映像檔。進一步瞭解豁免圖片。

4. 選用：如果您有不同的 Google Cloud 專案擁有政策或 Container Registry 存放區，請授予跨專案存取權所需的 IAM 角色。如需操作說明，請參閱「在 GKE 中設定二進位授權的跨專案存取權」。

5. 選用：使用 built-by-cloud-build 驗證者，僅部署由 Cloud Build 建構的映像檔。

6. 選用：使用認證。

7. 部署容器映像檔。

8. 在 Cloud 稽核記錄中查看事件。