Двоичная авторизация - сбой при развертывании - отклонено Attestor. Аттестатор не может засвидетельствовать изображение в GKE - PullRequest
Новая
       28

Двоичная авторизация - сбой при развертывании - отклонено Attestor. Аттестатор не может засвидетельствовать изображение в GKE

2 голосов
/ 29 октября 2019

Я пытался продемонстрировать двоичную авторизацию моему клиенту как POC. Во время развертывания происходит сбой со следующим сообщением об ошибке:

pods "hello-app-6589454ddd-wlkbg" запрещен: бэкэнд политики веб-политик изображений запрещен одному или нескольким изображениям: Отказано правилом доступа кластерадля нас-центральная. Staging-кластер. Отказано Аттестором. Изображение gcr.io//hello-app:e1479a4 отклонено проектами // Attors / Vulnz-Atstor: Attestor не может засвидетельствовать изображение, развернутое по тегу

Я выполнил все шаги, упомянутые на сайте.

Я неоднократно проверял изображение для нескольких случаев, например, используя приведенную ниже команду, чтобы принудительно выполнить полную аттестацию: 

gcloud alpha container binauthz attestations sign-and-create   --project "projectxyz"  --artifact-url "gcr.io/projectxyz/hello-app@sha256:82f1887cf5e1ff80ee67f4a820703130b7d533f43fe4b7a2b6b32ec430ddd699"   --attestor "vulnz-attestor"   --attestor-project "projectxyz"   --keyversion "1"   --keyversion-key "vulnz-signer"   --keyversion-location "us-central1"   --keyversion-keyring "binauthz"   --keyversion-project "projectxyz"

Выдает ошибку как:

ОШИБКА: (gcloud.alpha.container.binauthz.attestations.sign-and-create) Ресурс в проекте [project xyz] является предметом конфликта: идентификатор вхождения "c5f03cc3-3829-44cc-ae38-2b2b3967ba61" уже существует вproject "projectxyz"

Так что, когда я проверяю, я нашел настоящее свидетельство: 

gcloud beta container binauthz attestations list       --artifact-url "gcr.io/projectxyz/hello-app@sha256:82f1887cf5e1ff80ee67f4a820703130b7d533f43fe4b7a2b6b32ec430ddd699"       --attestor "vulnz-attestor"       --attestor-project "projectxyz"       --format json  | jq '.[0].kind' \
>       | grep 'ATTESTATION'
"ATTESTATION"

Вот снимки экрана:

deployment error

container

cloud build

Любые отзывы, пожалуйста?

Заранее спасибо.

Ответы [ 2 ]

3 голосов
/ 29 октября 2019

Спасибо за попытку двоичной авторизации. Я только что обновил двоичное решение для авторизации , которое может оказаться полезным.

Несколько вещей, которые я заметил по пути:

... отрицаемые проектами// аттесторы / vulnz-atstor:

Должен быть идентификатор проекта между projects и attestors, например: 

projects/my-project/attestors/vulnz-attestor

Аналогично, ваш gcr.ioссылки должны включать тот же идентификатор проекта, например:

gcr.io // hello-app: e1479a4

должно быть 

gcr.io/my-project/hello-app:e1479a4

Если вы следовали учебному пособию, оно, вероятно, попросило вас установить переменную, например $PROJECT_ID, но вы, возможно, случайно удалили ее или выполнили команду в другом терминальном сеансе.

0 голосов
/ 30 октября 2019

После того, как указал на другую проблему хранилища решена, но до этого у вас были проблемы и могло быть много причин. обратитесь в службу поддержки с сообщением об ошибке, если у вас возникла такая же проблема.

...