Creare un'attestazione di Autorizzazione binaria in una pipeline Cloud Build

Questo tutorial mostra come creare un'attestazione di Autorizzazione binaria in una pipeline Cloud Build. Questa configurazione contribuisce a garantire che solo le immagini container create e firmate nell'ambito del processo di compilazione di Cloud Build siano autorizzate automaticamente a essere eseguite nell'ambiente di deployment.

Panoramica di Cloud Build

Cloud Build (panoramica) prende il codice sorgente memorizzato in un repository ospitato, esegue le build e i test e archivia gli output software risultanti in Container Registry o in un altro servizio di archiviazione su Google Cloud Platform.

Panoramica di Autorizzazione binaria

Autorizzazione binaria (panoramica) è un prodottoGoogle Cloud che applica vincoli di deployment alle applicazioni. L'integrazione con Google Kubernetes Engine (GKE) consente agli utenti di garantire che i container di cui è stato eseguito il deployment in un cluster Kubernetes siano firmati crittograficamente da un'autorità attendibile e verificati da un attestatore di Autorizzazione binaria.

Puoi configurare Autorizzazione binaria in modo che richieda attestazioni in base alla posizione del codice sorgente per impedire il deployment di immagini container create da un'origine non autorizzata.

Per saperne di più:

Architettura

Il seguente diagramma mostra i componenti in una configurazione di Autorizzazione binaria/Cloud Build:

Pipeline di attestazione di Autorizzazione binaria di Cloud Build.
Figura 1. Pipeline di Cloud Build che crea un'attestazione di Autorizzazione binaria.

In questa pipeline:

  1. Il codice per creare l'immagine container viene inviato a un repository di origine.

  2. Uno strumento di integrazione continua (CI), Cloud Build, crea e testa il container.

  3. La build esegue il push dell'immagine container in Container Registry o in un altro registro che archivia le immagini create.

  4. Cloud Key Management Service, che fornisce la gestione delle chiavi per la coppia di chiavi di crittografia, firma l'immagine container. La firma risultante viene quindi archiviata in un'attestazione appena creata.

  5. Al momento del deployment, l'attestatore verifica l'attestazione utilizzando la chiave pubblica della coppia di chiavi. Autorizzazione binaria applica il criterio richiedendo attestazioni firmate per eseguire il deployment dell'immagine container.

Creare un'attestazione utilizzando Cloud Build con Cloud Key Management Service

Questa sezione mostra come implementare l'architettura descritta sopra. Utilizza un passaggio di build personalizzato open source della community Cloud Build. Il passaggio di build personalizzato firma un'immagine container, crea l'attestazione e la carica in Autorizzazione binaria.

Configura Identity and Access Management

Per utilizzare questo passaggio di build, il account di servizio Cloud Build deve disporre dei seguenti ruoli IAM:

  • Visualizzatore attestatori autorizzazione binaria
    • roles/binaryauthorization.attestorsViewer
  • Firmatario/Responsabile verifica Cloud KMS CryptoKey (se utilizzi la chiave in KMS per firmare l'attestazione)
    • roles/cloudkms.signerVerifier
  • Artifact Analysis Notes Attacher
    • roles/containeranalysis.notes.attacher

I seguenti comandi possono essere utilizzati per aggiungere i ruoli all'account di servizio Cloud Build del progetto:

  1. Attiva Cloud Build:

    Abilita l'API Cloud Build nel progetto Google Cloud di destinazione.

  2. Salva l'ID progetto in una variabile di ambiente:

    PROJECT_ID=PROJECT_ID

    dove PROJECT_ID è l'ID progetto Google Cloud .

  3. Imposta Google Cloud CLI del progetto:

    gcloud config set project ${PROJECT_ID}

  4. Recupera il numero di progetto:

    PROJECT_NUMBER=$(gcloud projects list --filter="${PROJECT_ID}" --format="value(PROJECT_NUMBER)")

  5. Aggiungi il ruolo Visualizzatore attestatore di autorizzazione binaria al service account Cloud Build:

    gcloud projects add-iam-policy-binding ${PROJECT_ID} \
  --member serviceAccount:${PROJECT_NUMBER}@cloudbuild.gserviceaccount.com \
  --role roles/binaryauthorization.attestorsViewer

  6. Aggiungi il ruolo Firmatario/Responsabile verifica CryptoKey Cloud KMS al service account Cloud Build (firma basata su KMS):

    gcloud projects add-iam-policy-binding ${PROJECT_ID} \
  --member serviceAccount: