5.10.4 - バイナリ認証の使用を確保する (自動化)

ビュー:

プロファイル適用性: レベル2

Binary Authorizationは、暗号的に署名された検証可能なメタデータを持つイメージのみをクラスターに許可することで、サプライチェーンのセキュリティを保護します。

バイナリ認証は、Google Container Registry (GCR) または他のコンテナイメージレジストリから GKE にデプロイされるイメージのソフトウェアサプライチェーンセキュリティを提供します。

Binary Authorizationは、開発プロセス中に信頼できる機関によってイメージに署名されることを要求します。これらの署名は、デプロイメント時に検証されます。検証を強制することで、検証済みのイメージのみがビルドおよびリリースプロセスに統合されることを保証し、コンテナ環境をより厳密に管理することができます。

注意

デフォルトでは、バイナリ認証は無効になっています。

影響

ポリシーを定義する際には、コンテナイメージの展開が誤って拒否されないよう注意が必要です。ポリシーによっては、クラスター内で実行中の既存のコンテナイメージに対する証明書を作成する必要があり、それらのイメージが再展開されるか、ポッドの入れ替えの一環としてプルされる前に作成する必要があります。

キーシステムイメージの展開が拒否されるのを防ぐために、Googleが提供するグローバルポリシーを使用し、Google提供のシステムイメージのリストをさらなるポリシー評価から免除するグローバルポリシー評価モードの使用を検討してください。

監査

Google Cloud Consoleを使用する:

GKEクラスターでバイナリ認証が有効になっていることを確認するには:

Kubernetes Engine のウェブサイトにアクセスしてください。
Binary Authorizationが無効になっているクラスターを選択してください。
詳細ペインのセキュリティセクションで、バイナリ認証が有効になっていることを確認します。その後、ポリシーの内容を評価します。
Binary Authorizationに移動します。
ポリシーが定義されていることを確認し、プロジェクトのデフォルトルールがすべてのイメージを許可するように設定されていないことを確認してください。

コマンドラインの使用:

GKEクラスターでバイナリ認証が有効になっていることを確認するには:

gcloud container clusters describe <cluster_name> --zone <compute_zone> 
--format json | jq .binaryAuthorization

バイナリ認証が有効になっている場合、上記のコマンド出力は次のようになります。

{ 
    "enabled": true 
}

次に、ポリシーの内容を評価します。

gcloud container binauthz policy export > current-policy.yaml

現在のポリシーがすべてのイメージを許可するように設定されていないことを確認します (評価モード: ALWAYS_ALLOW ):

cat current-policy.yaml 
... 
defaultAdmissionRule: 
  evaluationMode: ALWAYS_ALLOW

修復

Google Cloud Consoleを使用する:

Binary Authorizationに移動します。
バイナリ認証APIを有効にします (無効の場合)。
クラスターで使用する適切なポリシーを作成してください。ガイダンスについてはGoogleポリシーレファレンスを参照してください。
Kubernetes Engine のウェブサイトにアクセスしてください。
Binary Authorizationが無効になっているクラスターを選択してください。
詳細ペインのセキュリティセクション内で、編集バイナリ認証という名前の鉛筆アイコンをクリックします。
バイナリ認証を有効にするの横のチェックボックスをオンにします。
ポリシーを適用を選択し、使用するポリシーのディレクトリを指定してください。
[SAVE CHANGES]をクリックします。

コマンドラインの使用:

クラスターを更新してバイナリ認証を有効にする:

gcloud container cluster update <cluster_name> --zone <compute_zone> 
--binauthz-evaluation-mode=<evaluation_mode> 

Example: 
gcloud container clusters update $CLUSTER_NAME --zone $COMPUTE_ZONE 
--binauthz-evaluation-mode=PROJECT_SINGLETON_POLICY_ENFORCE

評価モードの詳細についてはGoogleクラスタを参照してください。

Binary Authorization Policy Referenceを参考にして、バイナリ認証ポリシーを作成します。

ポリシーファイルをバイナリ認証にインポートする:

gcloud container binauthz policy import <yaml_policy>