Menyiapkan untuk cluster lokal

Menggunakan Workload Identity

1. Tentukan project host fleet Anda:

   export PROJECT_ID=PROJECT_ID
   

2. Tetapkan ID keanggotaan fleet ke ID cluster Anda:

   ID keanggotaan tercantum di kolom NAME saat Anda menjalankan perintah gcloud container fleet memberships list.

   export MEMBERSHIP_ID=CLUSTER_NAME
   

Menggunakan kunci akun layanan

1. Tentukan project host fleet Anda:

   export PROJECT_ID=PROJECT_ID
   

   Ganti PROJECT_ID dengan project Google Cloud di bagian gkeConnect file konfigurasi cluster pengguna Anda.

2. Tentukan jalur file kubeconfig cluster pengguna:

   export KUBECONFIG=PATH
   

   Ganti PATH dengan jalur file kubeconfig cluster pengguna Anda.

3. Pilih nama untuk akun layanan akses Binary Authorization API:

   export SA_NAME=SERVICE_ACCOUNT_NAME
   

   Ganti SERVICE_ACCOUNT_NAME dengan nama akun layanan pilihan Anda. Modul Binary Authorization menggunakan akun layanan ini untuk mengakses Binary Authorization API.

4. Tentukan jalur ke file kunci akun layanan yang Anda download nanti dalam panduan ini:

   export SA_JSON_PATH=SA_KEY_FILE_PATH
   

   Ganti SA_KEY_FILE_PATH dengan jalur file kunci JSON untuk akun layanan.

Menggunakan Workload Identity

Dengan Fleet Workload Identity, workload di cluster Anda dapat melakukan autentikasi ke Google tanpa mengharuskan Anda mendownload, memutar secara manual, dan mengelola kunci akun layanan secara umum. Google Cloud Anda dapat mengetahui lebih lanjut cara kerja Workload Identity fleet dan keuntungan menggunakannya di Menggunakan Workload Identity fleet.

1. Berikan peran binaryauthorization.policyEvaluator ke akun layanan Kubernetes di project host fleet Anda:

   gcloud projects add-iam-policy-binding ${PROJECT_ID} \
       --member="serviceAccount:${PROJECT_ID}.svc.id.goog[binauthz-system/binauthz-admin]" \
       --role="roles/binaryauthorization.policyEvaluator"
   

2. Buat direktori kerja:

   1. Buat direktori bernama binauthz.

   2. Ubah ke direktori.

3. Download file manifest-wi-0.2.6.yaml.tmpl, yang Anda gunakan untuk menginstal Modul Otorisasi Biner di cluster pengguna Anda:

   Bare metal

   gcloud storage cp gs://anthos-baremetal-release/binauthz/manifest-wi-0.2.6.yaml.tmpl .
   

   VMware

   gcloud storage cp gs://gke-on-prem-release/binauthz/manifest-wi-0.2.6.yaml.tmpl .
   

4. Ganti variabel lingkungan dalam template:

   envsubst < manifest-wi-0.2.6.yaml.tmpl > manifest-0.2.6.yaml
   

5. Instal Modul Otorisasi Biner di cluster pengguna Anda:

   kubectl apply -f manifest-0.2.6.yaml
   

6. Pastikan Deployment telah dibuat:

   kubectl get pod --namespace binauthz-system
   

   Anda akan melihat Pod binauthz-module-deployment-* yang tercantum dengan Status dari Running dan 1/1 Pod siap, mirip dengan output ini:

   NAME                                          READY   STATUS    RESTARTS   AGE
   binauthz-module-deployment-5fddf9594f-qjprz   1/1     Running   0          11s
   

Menggunakan kunci akun layanan

1. Tetapkan project default untuk Google Cloud CLI:

   gcloud config set project ${PROJECT_ID}
   

2. Buat akun layanan akses Binary Authorization API:

   gcloud iam service-accounts create ${SA_NAME}
   

3. Beri peran binaryauthorization.policyEvaluator kepada akun layanan akses Binary Authorization API di project host fleet Anda:

   gcloud projects add-iam-policy-binding ${PROJECT_ID}\
       --member="serviceAccount:${SA_NAME}@${PROJECT_ID}.iam.gserviceaccount.com" \
       --role="roles/binaryauthorization.policyEvaluator"
   

4. Buat direktori kerja:

   1. Buat direktori bernama binauthz.

   2. Ubah ke direktori.

5. Download file manifest-0.2.6.yaml, yang Anda gunakan untuk menginstal Modul Otorisasi Biner di cluster pengguna Anda:

   Bare metal

   gcloud storage cp gs://anthos-baremetal-release/binauthz/manifest-0.2.6.yaml .
   

   VMware

   gcloud storage cp gs://gke-on-prem-release/binauthz/manifest-0.2.6.yaml .
   

6. Buat file YAML untuk namespacebinauthz-system.

   Salin kode berikut ke file bernama namespace.yaml:

   apiVersion: v1
   kind: Namespace
   metadata:
     labels:
       control-plane: binauthz-controller
     name: binauthz-system
   

7. Buat namespace di cluster pengguna Anda:

   kubectl apply -f namespace.yaml
   

   Anda akan melihat output yang mirip dengan berikut ini:

   namespace/binauthz-system created
   

8. Download file kunci JSON untuk akun layanan Anda:

   gcloud iam service-accounts keys create ${SA_JSON_PATH} --iam-account ${SA_NAME}@${PROJECT_ID}.iam.gserviceaccount.com
   

9. Simpan kunci akun layanan sebagai Secret Kubernetes di cluster pengguna Anda:

   kubectl --namespace binauthz-system create secret generic binauthz-sa --from-file=key.json=${SA_JSON_PATH}
   

10. Instal Modul Otorisasi Biner di cluster pengguna Anda:

    kubectl apply -f manifest-0.2.6.yaml
    

11. Pastikan Deployment telah dibuat:

    kubectl get pod --namespace binauthz-system
    

    Anda akan melihat Pod binauthz-module-deployment-* yang tercantum dengan Status dari Running dan 1/1 Pod siap, mirip dengan output ini:

    NAME                                          READY   STATUS    RESTARTS   AGE
    binauthz-module-deployment-5fddf9594f-qjprz   1/1     Running   0          11s
    

Konsol

1. Di Google Cloud console, buka halaman Binary Authorization.

   Buka Otorisasi Biner

2. Pastikan untuk memilih project ID host fleet Anda.

3. Klik Edit Kebijakan.

4. Di bagian Project default rule, pilih Allow all images.

5. Klik Simpan Kebijakan.

gcloud

1. Tetapkan PROJECT_ID untuk project host fleet Anda. Anda dapat menemukan project ID ini di kolom gkeConnect dalam file konfigurasi cluster pengguna.

   export PROJECT_ID=PROJECT_ID
   

   Tetapkan project Google Cloud default.

   gcloud config set project ${PROJECT_ID}
   

2. Ekspor file YAML kebijakan ke sistem lokal Anda:

   gcloud container binauthz policy export  > policy.yaml
   

   File YAML Anda akan terlihat seperti berikut:

   defaultAdmissionRule:
     enforcementMode: ENFORCED_BLOCK_AND_AUDIT_LOG
     evaluationMode: ALWAYS_ALLOW
   globalPolicyEvaluationMode: ENABLE
   name: projects/<var>PROJECT_ID</var>/policy
   

3. Edit policy.yaml.

4. Tetapkan evaluationMode ke ALWAYS_ALLOW.

5. Jika Anda memiliki blok requireAttestationsBy dalam file, hapus blok ini.

6. Simpan file.

7. Impor policy.yaml sebagai berikut:

   gcloud container binauthz policy import policy.yaml
   

Untuk menambahkan gambar yang dikecualikan ke daftar yang diizinkan, tambahkan berikut ke file kebijakan:

admissionWhitelistPatterns:
  - namePattern: EXEMPT_IMAGE_PATH

Ganti EXEMPT_IMAGE_PATH dengan jalur ke gambar yang akan dikecualikan. Untuk mengecualikan gambar tambahan, tambahkan entri - namePattern tambahan. Pelajari admissionWhitelistPatterns lebih lanjut.

Konsol

1. Di Google Cloud console, buka halaman Binary Authorization.

   Buka Otorisasi Biner

2. Pastikan project host fleet Anda dipilih.

3. Klik Edit Kebijakan.

4. Di bagian Aturan default project, pilih Jangan izinkan semua gambar.

5. Klik Save policy.

gcloud

1. Tetapkan PROJECT_ID ke ID project host fleet Anda.

   export PROJECT_ID=PROJECT_ID
   

2. Tetapkan project Google Cloud default.

   gcloud config set project ${PROJECT_ID}
   

3. Ekspor file YAML kebijakan:

   gcloud container binauthz policy export  > policy.yaml
   

4. Edit policy.yaml.

5. Tetapkan evaluationMode ke ALWAYS_DENY.

6. Jika Anda memiliki blok requireAttestationsBy dalam file, hapus blok ini.

7. Simpan file.

8. Impor policy.yaml sebagai berikut:

   gcloud container binauthz policy import policy.yaml
   

Konsol

1. Di Google Cloud console, buka halaman Clusters GKE.

   Buka Cluster

2. Pilih project ID host fleet untuk cluster Anda. Anda dapat menemukan project ID ini di bagian gkeConnect pada file konfigurasi cluster pengguna Anda.

3. Di daftar cluster, temukan ID cluster Anda di kolom Nama.

4. Untuk membuat ID resource, tambahkan awalan global. ke ID cluster sehingga ID resource memiliki format berikut: global.CLUSTER_ID.

gcloud

1. Gunakan SSH untuk terhubung ke workstation admin Anda.

2. Di workstation admin, jalankan perintah berikut:

   kubectl get membership -o yaml
   

3. Dapatkan ID cluster dari kolom spec.owner.id output. Contoh output berikut:

   apiVersion: v1
   items:
   - apiVersion: hub.gke.io/v1
     kind: Membership
     ...
     spec:
       owner:
         id: //gkehub.googleapis.com/projects/PROJECT_NUMBER/locations/global/memberships/my-cluster-id
   

   Dalam contoh output, ID cluster adalah my-cluster-id.

4. Untuk membuat ID resource, tambahkan awalan global. ke ID cluster. Dalam contoh, ID resource-nya adalah global.my-cluster-id.