ポリシー評価サービスを使用する

このページでは、ポリシー評価サービスの Google Cloud CLI コマンドを使用して、イメージまたは Kubernetes リソースが継続的検証チェックベースのプラットフォーム ポリシーに準拠しているかどうかを迅速に評価する方法について説明します。

概要

ポリシー評価サービスは、継続的検証（CV）チェックベースのプラットフォーム ポリシーで使用できる Binary Authorization の機能です。ポリシー評価サービスは、指定したコンテナ イメージが CV プラットフォーム ポリシーに準拠しているかどうかをオンデマンドで評価します。ポリシー評価サービスは、gcloud CLI コマンドと projects.platforms.gke.policies.evaluate メソッドで使用できます。

CV は、少なくとも 24 時間に 1 回、ポリシー違反の有無をチェックします。このため、CV が有効になった後または Kubernetes リソースがデプロイされてから CV イベントが Logging に表示されるまでに最長で 24 時間ほどかかることがあります。また、CV でポリシー違反が検出されるとログエントリが生成されます。Kubernetes リソースがポリシーを遵守している場合は、ログエントリは生成されません。

ポリシー評価サービスは、イメージがポリシーに準拠しているかどうか、またはイメージがポリシーに違反しているかどうかを示す判定結果を出力します。

ポリシー評価サービスを使用すると、イメージがポリシーに準拠しているかどうかをすばやく判断できます。

このサービスを使用する場合は、イメージ URL を直接指定するか、Kubernetes リソース内で指定します。また、GKE CV チェックベースのポリシーの名前も指定します。

ポリシー評価サービス サービスを使用することで、CV を使用する前にポリシーを開発し、準拠していない Kubernetes リソースをデバッグできます。

この機能は、GKE CV チェックベースのポリシーのみをサポートしています。

イメージにはイメージ ダイジェストを IMAGE_URL@IMAGE_DIGEST の形式で指定する必要があります。ただし、次の場合は除きます。

  • 信頼できるディレクトリのチェック: 指定したディレクトリにイメージがある場合、チェックに合格します。
  • イメージ許可リストの除外: 他のすべてのチェックでは IMAGE_URL@IMAGE_DIGEST 形式のイメージ ダイジェストが必要です。

始める前に

  1. Google Cloud CLI をインストールします。

  2. 外部 ID プロバイダ（IdP）を使用している場合は、まず連携 ID を使用して gcloud CLI にログインする必要があります。

  3. gcloud CLI を初期化するには、次のコマンドを実行します: 

    gcloud init