הגדרה ל-GKE

בדף הזה מוסבר איך להגדיר אכיפה של Binary Authorization בסביבה שלכם לשימוש עם Google Kubernetes Engine ‏ (GKE). אפשר להגדיר את Binary Authorization באמצעות מסוף Google Cloud או Google Cloud CLI. אפשר גם לבצע חלק משלבי ההגדרה באמצעות ממשק ה-API בארכיטקטורת REST של Binary Authorization.

במדריך המלא תחילת השימוש ב-Google Cloud CLI או תחילת השימוש במסוף Google Cloud מוסבר איך לבצע את שלבי ההגדרה הבאים.

כדי להגדיר את Binary Authorization:

1. מפעילים את Binary Authorization.

2. יוצרים אשכול שבו מופעל Binary Authorization, או מפעילים את Binary Authorization באשכול קיים.

3. מגדירים את המדיניות של Binary Authorization.

   אפשר להגדיר את התכונות הבאות במדיניות:

   • כלל ברירת מחדל.
   • כללים ספציפיים לאשכול.
   • כללים ספציפיים לזהות השירות או למרחב השמות של Kubernetes.
   • תמונות פטורות. מידע נוסף על תמונות פטורות

4. אופציונלי: אם יש לכם פרויקטים שונים ב- Google Cloud שהם הבעלים של המדיניות או של מאגרי Container Registry, אתם צריכים להקצות את תפקידי ה-IAM שנדרשים לגישה בין פרויקטים. להוראות, קראו את המאמר הגדרת גישה לפרויקטים שונים ב-Binary Authorization ב-GKE.

5. אופציונלי: משתמשים בגורם מאמת (attestor) built-by-cloud-build כדי לפרוס רק קובצי אימג' שנוצרו על ידי Cloud Build.

6. אופציונלי: שימוש באישורים.

7. פריסת קובצי אימג' של קונטיינרים.

8. צפייה באירועים ביומני הביקורת של Cloud.