Menggunakan batasan kebijakan keamanan Cloud Service Mesh

Pengontrol Kebijakan dilengkapi dengan library default template batasan yang dapat digunakan dengan paket keamanan Cloud Service Mesh untuk mengaudit kepatuhan terhadap kerentanan keamanan mesh dan praktik terbaik Anda.

Halaman ini berisi petunjuk untuk menerapkan paket kebijakan secara manual. Atau, Anda dapat menerapkan paket kebijakan secara langsung.

Kumpulan batasan ini membahas dan menerapkan kebijakan di domain berikut:

  • Cloud Service Mesh menerapkan traffic mTLS
  • Praktik terbaik AuthorizationPolicy Cloud Service Mesh
  • Penerapan keamanan workload Cloud Service Mesh

Batasan paket kebijakan Cloud Service Mesh

Nama Batasan Deskripsi Batasan ID Kontrol
asm-policy-v0.0.1-asm-ingressgateway-label Menerapkan penggunaan label istio ingressgateway hanya pada pod ingressgateway 1.1.1
asm-policy-v0.0.1-asm-sidecar-injection Menerapkan sidecar proxy istio agar selalu dimasukkan ke pod workload 1.1.2
asm-policy-v0.0.1-asm-authz-policy-mesh-default-deny Menerapkan AuthorizationPolicy default deny level mesh 1.2.1
asm-policy-v0.0.1-asm-authz-policy-normalization Menerapkan normalisasi AuthorizationPolicy 1.2.2
asm-policy-v0.0.1-asm-authz-policy-safe-pattern Menerapkan pola aman AuthorizationPolicy 1.2.3
asm-policy-v0.0.1-asm-peer-authn-mesh-strict-mtls Menerapkan PeerAuthentication mtls ketat level mesh 1.3.1
asm-policy-v0.0.1-asm-peer-authn-strict-mtls Menerapkan semua PeerAuthentication tidak dapat menimpa mtls ketat 1.3.2
asm-policy-v0.0.1-asm-request-authn-prohibited-output-headers Menerapkan jwtRules outputPayloadToHeader agar tidak berisi header permintaan HTTP yang dikenal 1.4.1

Profil paket

Dalam paket kebijakan keamanan Cloud Service Mesh, Anda dapat menggunakan dua profil berdasarkan tingkat keketahuan. Level kepatuhan rendah memiliki lebih sedikit batasan yang diterapkan, yang memberikan lebih banyak fleksibilitas. Tingkat kepatuhan tinggi memiliki lebih banyak batasan yang diterapkan, yang memberikan kontrol kebijakan yang lebih aman.

Tingkat ketelitian rendah

Profil tingkat kepatuhan rendah memiliki batasan kebijakan berikut:

  • Label istio:ingressgateway hanya dapat digunakan oleh Pod gateway masuk Istio.

  • Di AuthorizationPolicy, kolom hosts atau notHosts hanya dapat digunakan dengan memilih gateway masuk Istio yang memiliki label istio:ingressgateway.

  • Di AuthorizationPolicy, saat kolom methods atau notMethods digunakan, nilainya harus berupa huruf besar.

  • Di AuthorizationPolicy, saat kolom request.headers digunakan, nilai tidak boleh berisi spasi kosong.

  • Di AuthorizationPolicy, saat kolom paths atau notPaths digunakan, nilainya harus berupa nilai yang dinormalisasi.

Tingkat kepatuhan tinggi

Tingkat kepatuhan tinggi mencakup semua batasan dari tingkat kepatuhan rendah serta batasan berikut:

  • Untuk semua Pod beban kerja, anotasi sidecar.istio.io/inject: false tidak dapat diterapkan untuk mengabaikan injeksi proxy.

  • AuthorizationPolicy tingkat mesh yang menentukan aturan default deny diterapkan.

  • AuthorizationPolicy harus mengikuti ALLOW-with-positive-matching atau DENY-with-negative-match.

  • Di AuthorizationPolicy, saat kolom hosts atau notHosts digunakan, nilainya harus berupa pasangan <host-name> dan <host-name>:*.

  • PeerAuthentication tingkat mesh yang menentukan mTLS ketat diterapkan.

  • Untuk semua PeerAuthentication di mesh, mode mTLS hanya boleh UNSET atau STRICT, untuk mengikuti mTLS ketat.

Setelan paket

Penyetel KPT Deskripsi
tingkat-ketat Profil tingkat kepatuhan paket Cloud Service Mesh, opsi adalah `Rendah` atau `Tinggi` (default)

Sebelum memulai

  1. Instal dan lakukan inisialisasi pada Google Cloud CLI, yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah diinstal sebelumnya.
  2. Instal Pengontrol Kebijakan v.1.11.2 atau yang lebih baru di cluster Anda dengan library template batasan default. Anda juga harus mengaktifkan dukungan untuk batasan referensi, karena paket ini berisi batasan referensi.
  3. Pastikan Cloud Service Mesh diinstal di cluster Anda.

Mengonfigurasi Pengontrol Kebijakan untuk batasan referensi

  1. Simpan manifes YAML berikut sebagai policycontroller-config.yaml:

    apiVersion: config.gatekeeper.sh/v1alpha1
    kind: Config
    metadata:
      name: config
      namespace: "gatekeeper-system"
    spec:
      sync:
        syncOnly:
          - group: ""
            version: "v1"
            kind: "Namespace"
          - group: "security.istio.io"
            version: "v1beta1"
            kind: "AuthorizationPolicy"
          - group: "security.istio.io"
            version: "v1beta1"
            kind: "PeerAuthentication"
    

    Manifes ini mengonfigurasi Pengontrol Kebijakan untuk memantau jenis objek tertentu.

  2. Terapkan manifes policycontroller-config.yaml:

    kubectl apply -f policycontroller-config.yaml
    

Mengaudit paket kebijakan Cloud Service Mesh

Pengontrol Kebijakan memungkinkan Anda menerapkan kebijakan untuk cluster Kubernetes. Untuk membantu menguji workload dan kepatuhannya sehubungan dengan kebijakan keamanan Cloud Service Mesh yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkapkan pelanggaran dan yang lebih penting memberi Anda kesempatan untuk memperbaikinya sebelum menerapkannya di cluster Kubernetes.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction ditetapkan ke dryrun menggunakan kubectl, kpt, atau Config Sync.

kubectl

  1. (Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

    kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/asm-policy-v0.0.1
    
  2. Terapkan batasan kebijakan dengan kubectl:

    kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/asm-policy-v0.0.1
    

    Outputnya adalah sebagai berikut:

    asmauthzpolicydefaultdeny.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-authz-policy-mesh-default-deny created
    asmauthzpolicynormalization.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-authz-policy-normalization created
    asmauthzpolicysafepattern.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-authz-policy-safe-pattern created
    asmingressgatewaylabel.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-ingressgateway-label created
    asmpeerauthnmeshstrictmtls.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-peer-authn-mesh-strict-mtls created
    asmpeerauthnstrictmtls.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-peer-authn-strict-mtls created
    asmrequestauthnprohibitedoutputheaders.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-request-authn-prohibited-output-headers created
    asmsidecarinjection.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-sidecar-injection created
    
  3. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

    kubectl get -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/asm-policy-v0.0.1
    

    Outputnya mirip dengan hal berikut ini:

    NAME                                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
    asmauthzpolicydefaultdeny.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-authz-policy-mesh-default-deny   dryrun               0
    
    NAME                                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
    asmauthzpolicynormalization.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-authz-policy-normalization   dryrun               0
    
    NAME                                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
    asmauthzpolicysafepattern.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-authz-policy-safe-pattern   dryrun               0
    
    NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
    asmingressgatewaylabel.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-ingressgateway-label   dryrun               0
    
    NAME                                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
    asmpeerauthnmeshstrictmtls.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-peer-authn-mesh-strict-mtls   dryrun               0
    
    NAME                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
    asmpeerauthnstrictmtls.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-peer-authn-strict-mtls   dryrun               0
    
    NAME                                                                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
    asmrequestauthnprohibitedoutputheaders.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-request-authn-prohibited-output-headers   dryrun               0
    
    NAME                                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
    asmsidecarinjection.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-sidecar-injection   dryrun               0
    

kpt

  1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

  2. Download paket kebijakan keamanan Cloud Service Mesh dari GitHub menggunakan kpt:

    kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/asm-policy-v0.0.1
    
  3. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

    kpt fn eval asm-policy-v0.0.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
      -- enforcementAction=dryrun
    
  4. Jalankan fungsi penyetel kpt untuk menetapkan kolom khusus kebijakan keamanan Cloud Service Mesh:

    kpt fn eval asm-policy-v0.0.1 --image gcr.io/kpt-fn/apply-setters:v0.2.0 -- \
    strictness-level="Low"
    
  5. Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:

    cd asm-policy-v0.0.1
    kpt live init
    
  6. Terapkan batasan kebijakan dengan kpt:

    kpt live apply
    

    Outputnya adalah sebagai berikut:

    asmauthzpolicydefaultdeny.constraints.gatekeeper.sh/asm-authz-policy-mesh-default-deny created
    asmauthzpolicynormalization.constraints.gatekeeper.sh/asm-authz-policy-normalization created
    asmauthzpolicysafepattern.constraints.gatekeeper.sh/asm-authz-policy-safe-pattern created
    asmingressgatewaylabel.constraints.gatekeeper.sh/asm-ingressgateway-label created
    asmpeerauthnmeshstrictmtls.constraints.gatekeeper.sh/asm-peer-authn-mesh-strict-mtls created
    asmpeerauthnstrictmtls.constraints.gatekeeper.sh/asm-peer-authn-strict-mtls created
    asmsidecarinjection.constraints.gatekeeper.sh/asm-sidecar-injection created
    7 resource(s) applied. 7 created, 0 unchanged, 0 configured, 0 failed
    
  7. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

    kpt live status --output table --poll-until current
    

    Status CURRENT mengonfirmasi bahwa penginstalan batasan berhasil.

Config Sync

  1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

  1. Ubah ke direktori sinkronisasi untuk Config Sync:

    cd SYNC_ROOT_DIR
    

    Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml:

    echo resourcegroup.yaml >> .gitignore
    

  2. Buat direktori policies khusus:

    mkdir -p policies
    
  3. Download paket kebijakan keamanan Cloud Service Mesh dari GitHub menggunakan kpt:

    kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/asm-policy-v0.0.1 policies/asm-policy-v0.0.1
    
  4. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

    kpt fn eval policies/asm-policy-v0.0.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
    
  5. Jalankan fungsi penyetel kpt untuk menetapkan kolom khusus kebijakan keamanan Cloud Service Mesh:

    kpt fn eval policies/asm-policy-v0.0.1 --image gcr.io/kpt-fn/apply-setters:v0.2.0 -- \
    strictness-level="Low"
    
  6. (Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

    kpt live init policies/asm-policy-v0.0.1
    kpt live apply --dry-run policies/asm-policy-v0.0.1
    

    Outputnya adalah sebagai berikut:

    Dry-run strategy: client
    inventory update started
    inventory update finished
    apply phase started
    asmauthzpolicydefaultdeny.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-authz-policy-mesh-default-deny apply successful
    asmauthzpolicynormalization.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-authz-policy-normalization apply successful
    asmauthzpolicysafepattern.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-authz-policy-safe-pattern apply successful
    asmingressgatewaylabel.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-ingressgateway-label apply successful
    asmpeerauthnmeshstrictmtls.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-peer-authn-mesh-strict-mtls apply successful
    asmpeerauthnstrictmtls.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-peer-authn-strict-mtls apply successful
    asmrequestauthnprohibitedoutputheaders.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-request-authn-prohibited-output-headers apply successful
    asmsidecarinjection.constraints.gatekeeper.sh/asm-policy-v0.0.1-asm-sidecar-injection apply successful
    apply phase finished
    inventory update started
    inventory update finished
    apply result: 8 attempted, 8 successful, 0 skipped, 0 failed
    
  7. Jika direktori sinkronisasi untuk Config Sync menggunakan Kustomize, tambahkan policies/asm-policy-v0.0.1 ke kustomization.yaml root Anda. Jika tidak, hapus file policies/asm-policy-v0.0.1/kustomization.yaml:

    rm SYNC_ROOT_DIR/policies/asm-policy-v0.0.1/kustomization.yaml
    
  8. Kirim perubahan ke repo Config Sync:

    git add SYNC_ROOT_DIR/policies/asm-policy-v0.0.1
    git commit -m 'Adding ASM security policy audit enforcement'
    git push
    
  9. Verifikasi status penginstalan:

    watch gcloud beta container fleet config-management status --project PROJECT_ID
    

    Status SYNCED mengonfirmasi penginstalan kebijakan.

Melihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran di cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran di cluster menggunakan perintah berikut:

kubectl get constraint -l policycontroller.gke.io/bundleName=asm-policy-v0.0.1 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Jika ada pelanggaran, daftar pesan pelanggaran per batasan dapat dilihat dengan:

kubectl get constraint -l policycontroller.gke.io/bundleName=asm-policy-v0.0.1 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Mengubah tindakan penerapan paket kebijakan Cloud Service Mesh

Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan untuk mengubah mode penerapan sehingga Pengontrol Akses akan warn aktif atau bahkan deny memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.

kubectl

  1. Gunakan kubectl untuk menetapkan tindakan penerapan kebijakan ke warn:

    kubectl get constraint -l policycontroller.gke.io/bundleName=asm-policy-v0.0.1 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
    
  2. Pastikan tindakan penerapan batasan kebijakan telah diperbarui:

    kubectl get constraint -l policycontroller.gke.io/bundleName=asm-policy-v0.0.1
    

kpt

  1. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:

    kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
    
  2. Terapkan batasan kebijakan:

    kpt live apply
    

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

  1. Ubah ke direktori sinkronisasi untuk Config Sync:

    cd SYNC_ROOT_DIR
    
  2. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:

    kpt fn eval policies/asm-policy-v0.0.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
    
  3. Kirim perubahan ke repo Config Sync:

    git add SYNC_ROOT_DIR/policies/asm-policy-v0.0.1
    git commit -m 'Adding ASM security policy bundle warn enforcement'
    git push
    
  4. Verifikasi status penginstalan:

    gcloud alpha anthos config sync repo list --project PROJECT_ID
    

    Repo Anda yang muncul di kolom SYNCED mengonfirmasi penginstalan kebijakan.

Menguji penegakan kebijakan

Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f -
apiVersion: security.istio.io/v1beta1
kind: AuthorizationPolicy
metadata:
  name: non-compliant-authz-policy
spec:
  action: ALLOW
  rules:
  - to:
    - operation:
        methods: ["get"]
EOF

Pengontrol akses harus menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilanggar oleh resource ini, seperti yang ditunjukkan dalam contoh berikut:

Warning: [asm-policy-v0.0.1-asm-authz-policy-normalization] in rules-to-operation, methods or notMethods must be uppercase
authorizationpolicy.security.istio.io/non-compliant-authz-policy created

Menghapus paket kebijakan Cloud Service Mesh

Jika perlu, paket kebijakan Cloud Service Mesh dapat dihapus dari cluster.

kubectl

  • Gunakan kubectl untuk menghapus kebijakan:

    kubectl delete constraint -l policycontroller.gke.io/bundleName=asm-policy-v0.0.1
    

kpt

  • Hapus kebijakan:

    kpt live destroy
    

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

  1. Kirim perubahan ke repo Config Sync:

    git rm -r SYNC_ROOT_DIR/policies/asm-policy-v0.0.1
    git commit -m 'Removing Cloud Service Mesh  policies'
    git push
    
  2. Verifikasi status:

    gcloud alpha anthos config sync repo list --project PROJECT_ID
    

    Repositori Anda yang muncul di kolom SYNCED mengonfirmasi penghapusan kebijakan.