Riferimento YAML per i criteri (original) (raw)

Questa pagina contiene informazioni di riferimento per le policy di Autorizzazione binaria specificate in formato YAML. Quando configuri una policy utilizzando l'interfaccia a riga di comando, modifica un file in formato YAML conforme a questa specifica. Per esempi di criteri in formato YAML, consulta Criteri di esempio.

I file YAML delle policy hanno il seguente formato:

name: projects/<PROJECT_ID>/policy
admissionWhitelistPatterns:
- namePattern: <MATCHING_PATTERN>
- ...
globalPolicyEvaluationMode: <GLOBAL_EVAL_MODE>
defaultAdmissionRule:
  <ADMISSION_RULE>
clusterAdmissionRules:
  <CLUSTER_SPECIFIER>:
    <ADMISSION_RULE>
  ...

Nodi

Il formato YAML ha i seguenti nodi di primo livello:

Nodo	Descrizione	Obbligatorio
name	Il nome del criterio.	Sì
admissionWhitelistPatterns	Specifica le immagini container per cui è sempre consentito il deployment.	No
globalPolicyEvaluationMode	Specifica se applicare una policy di sistema che esenta le immagini di sistema di proprietà di Google.	No
defaultAdmissionRule	La regola da utilizzare quando non si applica alcuna regola specifica.	Sì
clusterAdmissionRules	Specifica le regole che si applicano a cluster specifici.	No

`name`

Il nodo name contiene il nome della policy nel seguente formato:

name: projects/PROJECT_ID/policy

dove PROJECT_ID è il nome del tuo progetto Google Cloudin cui è definito il criterio.

Ad esempio:

name: projects/example-project/policy

`admissionWhitelistPatterns`

admissionWhitelistPatterns specifica una lista consentita di immagini container che sonoesenti dall'applicazione delle policy. Specifica il percorso delle immagini in Container Registry e Artifact Registry, un altro registro o un riferimento locale nel nodo secondario namePattern:

admissionWhitelistPatterns:

namePattern: MATCHING_PATTERN
...

Sostituisci MATCHING_PATTERN con un percorso a una singola immagine o un pattern corrispondente contenente uno dei simboli jolly (*, **).

Tieni presente che i caratteri jolly sono validi solo alla fine del pattern. Ad esempio,gcr.io/my-project/nginx* è un pattern valido, ma gcr.io/my-project/n*xnon lo è. Il carattere jolly * corrisponde solo alle immagini nella directory specificata. Ad esempio, gcr.io/my-project/nginx* corrisponde a gcr.io/my-project/nginx:latest, ma non a gcr.io/my-project/nginx-images/nginx. Il carattere jolly ** corrisponde alle immagini nelle sottodirectory. Ad esempio, il percorso gcr.io/my-project/nginx** corrisponde agcr.io/my-project/nginx-1.14.2/image:latest.

L'esempio seguente aggiunge i registri contenenti immagini Google Kubernetes Engine (GKE) di uso comune, un'immagine che si trova in gcr.io/example-project/helloworld e un riferimento locale a un'immagine all'elenco delle immagini esenti per il criterio:

admissionWhitelistPatterns:

namePattern: gcr.io/google-containers/*
namePattern: k8s.gcr.io/**
namePattern: gke.gcr.io/**
namePattern: gcr.io/gke-release/asm/*
namePattern: gcr.io/stackdriver-agents/*
namePattern: gcr.io/example-project/helloworld
namePattern: loc-ref

Pattern della lista consentita

Per inserire nella lista consentita tutte le immagini container la cui posizione del registro corrisponde al percorso specificato: