security - 二进制授权-部署失败-由Attestor拒绝。证明者无法证明GKE中的图像

Question

我试图向我的客户展示POC的二进制授权。在部署过程中，它失败并显示以下错误消息:

pods "hello-app-6589454ddd-wlkbg" is forbidden: image policy webhook backend denied one or more images: Denied by cluster admission rule for us-central1.staging-cluster. Denied by Attestor. Image gcr.io//hello-app:e1479a4 denied by projects//attestors/vulnz-attestor: Attestor cannot attest to an image deployed by tag

我遵守了网站中提到的所有步骤。

我已经多次验证了该图像的出现次数，例如使用以下命令强制充分进行证明:

gcloud alpha container binauthz attestations sign-and-create   --project "projectxyz"  --artifact-url "gcr.io/projectxyz/hello-app@sha256:82f1887cf5e1ff80ee67f4a820703130b7d533f43fe4b7a2b6b32ec430ddd699"   --attestor "vulnz-attestor"   --attestor-project "projectxyz"   --keyversion "1"   --keyversion-key "vulnz-signer"   --keyversion-location "us-central1"   --keyversion-keyring "binauthz"   --keyversion-project "projectxyz"

它将错误抛出为:

ERROR: (gcloud.alpha.container.binauthz.attestations.sign-and-create) Resource in project [project xyz] is the subject of a conflict: occurrence ID "c5f03cc3-3829-44cc-ae38-2b2b3967ba61" already exists in project "projectxyz"

因此，当我进行验证时，我发现存在证明:

gcloud beta container binauthz attestations list       --artifact-url "gcr.io/projectxyz/hello-app@sha256:82f1887cf5e1ff80ee67f4a820703130b7d533f43fe4b7a2b6b32ec430ddd699"       --attestor "vulnz-attestor"       --attestor-project "projectxyz"       --format json  | jq '.[0].kind' \
>       | grep 'ATTESTATION'
"ATTESTATION"

以下是屏幕截图:



有任何意见吗？

提前致谢。

Answer 1

感谢您尝试二进制授权。我刚刚更新了Binary Authorization Solution，您可能会发现有帮助。

我注意到的一些事情:

... denied by projects//attestors/vulnz-attestor:

在 projects和 attestors之间应该有一个项目ID，例如:

projects/my-project/attestors/vulnz-attestor

同样，您的gcr.io链接应包含相同的项目ID，例如:

gcr.io//hello-app:e1479a4

应该

gcr.io/my-project/hello-app:e1479a4

如果您按照教程进行操作，它可能会要求您设置一个像 $PROJECT_ID这样的变量，但是您可能不小心取消了设置，或者在另一个终端 session 中运行了该命令。