Memperbarui kebijakan Otorisasi Biner

Memperbarui kebijakan Otorisasi Biner

Catatan: Dokumen atau bagian ini menyertakan referensi ke satu atau beberapa istilah yang Google anggap tidak sopan atau menyinggung. Istilah tersebut digunakan karena merupakan kata kunci dalam software yang dijelaskan dalam dokumen ini.

Istilah: whitelist

Dokumen ini menjelaskan cara mengecualikan gambar dalam kebijakan Otorisasi Biner.

Dalam dokumen ini, Anda akan memperbarui kebijakan untuk mengecualikan image container di Artifact Registry dari penerapan Otorisasi Biner dan menetapkan aturan default untuk melarang semua container lainnya di-deploy.

Sebelum memulai

1. In the Google Cloud console, on the project selector page, select or create a Google Cloud project.

   Roles required to select or create a project

   • Select a project: Selecting a project doesn't require a specific IAM role—you can select any project that you've been granted a role on.
   • Create a project: To create a project, you need the Project Creator role (roles/resourcemanager.projectCreator), which contains the resourcemanager.projects.create permission. Learn how to grant roles.
   Note: If you don't plan to keep the resources that you create in this procedure, create a project instead of selecting an existing project. After you finish these steps, you can delete the project, removing all resources associated with the project.

   Go to project selector

2. Verify that billing is enabled for your Google Cloud project.

3. Enable the Artifact Registry, Binary Authorization APIs, if any are not already enabled.

   Roles required to enable APIs

   To enable APIs, you need the serviceusage.services.enable permission. If you created the project, then you likely already have this permission through the Owner role (roles/owner). Otherwise, you can get this permission through the Service Usage Admin role (roles/serviceusage.serviceUsageAdmin). Learn how to grant roles.

   Enable the APIs

4. Install the Google Cloud CLI.

5. Configure the gcloud CLI to use your federated identity.

   For more information, see Sign in to the gcloud CLI with your federated identity.

6. To initialize the gcloud CLI, run the following command:

   gcloud init

7. Jika Anda tidak menggunakan Cloud Shell, instal kubectl.

Membuat cluster dengan Otorisasi Biner diaktifkan

Buat cluster GKE dengan Otorisasi Biner diaktifkan. Ini adalah cluster tempat Anda ingin menjalankan image container yang di-deploy.

Konsol Google Cloud

1. Buka halaman Clusters GKE di Google Cloud console.

   Buka GKE

   Konsol menampilkan daftar cluster GKE di project Anda Google Cloud .

2. Klik Create Cluster.

3. Masukkan test-cluster di kolom Name.

   

4. Pilih Zonal di opsi Jenis Lokasi.

5. Pilih us-central1-a dari menu drop-down Zone.

6. Di panel navigasi, di bagian Cluster, klik Advanced settings.

7. Di baris Otorisasi Biner, klik Edit configuration.

8. Pilih Aktifkan Otorisasi Biner.

   

9. Pilih Terapkan saja, lalu klik Simpan.

10. Klik Create.

Catatan: Pembuatan cluster dapat memerlukan waktu beberapa menit.

gcloud

Jalankan gcloud container clusters create dengan flag --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE diaktifkan.

gcloud container clusters create \
    --binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE \
    --zone us-central1-a \
    test-cluster

Melihat Kebijakan default

Secara default, kebijakan Otorisasi Biner Anda dikonfigurasi untuk mengizinkan semua image container di-deploy.

Konsol Google Cloud

Untuk melihat kebijakan default, lakukan hal berikut:

1. Buka halaman Otorisasi Biner di konsol Google Cloud .

   Buka Otorisasi Biner

   Konsol akan menampilkan detail tentang kebijakan tersebut.

2. Klik Edit Kebijakan.

3. Di Project Default Rule, opsi Allow All Images dipilih.

gcloud

Untuk melihat kebijakan default, ekspor file YAML kebijakan dengan melakukan hal berikut:

gcloud container binauthz policy export

Secara default, file memiliki konten berikut:

globalPolicyEvaluationMode: ENABLE
defaultAdmissionRule:
  evaluationMode: ALWAYS_ALLOW
  enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
name: projects/<var>PROJECT_ID</var>/policy

REST API

Untuk melihat kebijakan default, ambil dalam format JSON sebagai berikut:

curl \
    -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
    -H "x-goog-user-project: ${PROJECT_ID}" \
    "https://binaryauthorization.googleapis.com/v1/projects/${PROJECT_ID}/policy"

REST API menampilkan hal berikut:

{
  "name": "projects/PROJECT_ID/policy",
  "globalPolicyEvaluationMode": "ENABLE",
  "defaultAdmissionRule": {
    "evaluationMode": "ALWAYS_ALLOW",
    "enforcementMode": "ENFORCED_BLOCK_AND_AUDIT_LOG"
  }
}

Hanya izinkan gambar yang dikecualikan

Bagian ini menjelaskan cara mengubah kebijakan untuk mengecualikan image dan melarang semua image lainnya di-deploy.

Konsol Google Cloud

Untuk mengubah kebijakan, lakukan hal berikut:

1. Kembali ke halaman Otorisasi Biner di konsol Google Cloud .

   Buka Otorisasi Biner

2. Klik Edit Kebijakan.

3. Pilih Jangan Izinkan Semua Gambar.

4. Di bagian Gambar yang dikecualikan dari aturan deployment, luaskan Jalur gambar.

5. Klik Tambahkan Jalur Gambar.

   Artifact Registry

   Di New image path, tempel jalur berikut dari repositori Artifact Registry:

   us-docker.pkg.dev/google-samples/containers/gke/hello-app:1.0
   

6. Klik Selesai untuk menyimpan jalur gambar.

7. Klik Simpan Kebijakan.

gcloud

Untuk mengubah kebijakan agar mengizinkan contoh gambar dari Artifact Registry, lakukan hal berikut:

1. Ekspor file YAML kebijakan:

   gcloud container binauthz policy export  > /tmp/policy.yaml
   

2. Di editor teks, ubah evaluationMode dari ALWAYS_ALLOW menjadi ALWAYS_DENY dan tambahkan gambar yang dikecualikan ke admissionWhitelistPatterns.

   Untuk mengecualikan contoh gambar berikut dari Artifact Registry, ubah file YAML kebijakan Anda sebagai berikut:

   admissionWhitelistPatterns:
   - namePattern: us-docker.pkg.dev/google-samples/containers/gke/hello-app:1.0
   globalPolicyEvaluationMode: ENABLE
   defaultAdmissionRule:
     evaluationMode: ALWAYS_DENY
     enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
   name: projects/<var>PROJECT_ID</var>/policy
   

3. Impor kembali file YAML kebijakan ke Otorisasi Biner:

   gcloud container binauthz policy import /tmp/policy.yaml
   

REST API

Untuk mengubah kebijakan, lakukan hal berikut:

1. Buat file teks dengan kebijakan yang diperbarui dalam format JSON:

   cat > /tmp/policy.json << EOM
   {
     "name": "projects/${PROJECT_ID}/policy",
     "admissionWhitelistPatterns": [
       {
         "namePattern": "us-docker.pkg.dev/google-samples/containers/gke/hello-app:1.0"
       }
     ],
     "globalPolicyEvaluationMode": "ENABLE",
     "defaultAdmissionRule": {
       "evaluationMode": "ALWAYS_DENY",
       "enforcementMode": "ENFORCED_BLOCK_AND_AUDIT_LOG"
     }
   }
   EOM
   

2. Kirim kebijakan yang telah diupdate ke REST API:

   curl -X PUT \
       -H "Content-Type: application/json" \
       -H "Authorization: Bearer $(gcloud auth application-default print-access-token)" \
       -H "x-goog-user-project: ${PROJECT_ID}" \
       --data-binary @/tmp/policy.json  \
       "https://binaryauthorization.googleapis.com/v1/projects/${PROJECT_ID}/policy"
   

Menguji kebijakan

Untuk menguji kebijakan dengan men-deploy image yang Anda tambahkan ke daftar yang diizinkan Exempt image, lakukan hal berikut:

1. Deploy image yang dikecualikan ke cluster.

   Konsol Google Cloud

   Men-deploy gambar yang dikecualikan:

   1. Buka halaman Clusters GKE di Google Cloud console.

      Buka GKE

   2. Klik Deploy.

      Konsol akan meminta Anda memasukkan detail tentang deployment.

   3. Pilih Existing Container Image.

   4. Masukkan jalur image container.

      Artifact Registry

      Untuk men-deploy image dari Artifact Registry, masukkan perintah berikut:

      us-docker.pkg.dev/google-samples/containers/gke/hello-app:1.0
      

   5. Klik Lanjutkan.

   6. Masukkan hello-server di kolom Nama Aplikasi.

   7. Klik Deploy.

   kubectl

   Artifact Registry

   Deploy image dari Artifact Registry:

   kubectl run hello-server --image us-docker.pkg.dev/google-samples/containers/gke/hello-app:1.0 --port 8080
   

2. Pastikan gambar diizinkan untuk di-deploy:

   Konsol Google Cloud

   Untuk memverifikasi bahwa image telah di-deploy, lakukan hal berikut:

   1. Buka halaman GKE.

   Buka GKE

   1. Buka halaman Workloads.

   Beban kerja hello-server muncul dengan ikon hijau, yang menunjukkan bahwa beban kerja tersebut sedang berjalan.

   kubectl

   Untuk memverifikasi bahwa image diizinkan untuk di-deploy, masukkan perintah berikut:

   kubectl get pods
   

   Anda akan melihat gambar berjalan.

3. Hapus pod.

   Konsol Google Cloud

   Di halaman Workloads GKE:

   1. Pilih workload hello-server.

   2. Klik Hapus.

   3. Saat diminta untuk menghapus resource, klik Hapus.

   kubectl

   kubectl delete pod hello-server
   

Pembersihan

Agar akun Google Cloud Anda tidak dikenai biaya untuk resource yang digunakan pada halaman ini, ikuti langkah-langkah berikut.

Hapus cluster yang Anda buat di GKE:

Konsol

Untuk menghapus cluster, lakukan langkah-langkah berikut:

1. Buka halaman Clusters GKE di Google Cloud console.

   Buka GKE

2. Pilih cluster test-cluster, lalu klik Delete.

gcloud

Untuk menghapus cluster, masukkan perintah berikut:

gcloud container clusters delete \
    --zone=us-central1-a \
    test-cluster

Langkah berikutnya

• Untuk mempelajari lebih lanjut cara mengecualikan gambar, termasuk penggunaan karakter pengganti untuk mengecualikan beberapa gambar, lihat Mengecualikan gambar.
• Untuk tutorial end-to-end yang menjelaskan cara menyiapkan dan menerapkan kebijakan yang memerlukan pengesahan, lihat artikel berikut:
  • Mulai menggunakan Google Cloud CLI
  • Mulai menggunakan konsol Google Cloud
• Baca referensi kami tentang DevOps dan pelajari program riset DevOps Research and Assessment (DORA).