Menggunakan batasan kebijakan CIS Google Kubernetes Engine Benchmark v1.5.0

Pengontrol Kebijakan dilengkapi library default berisi template batasan yang dapat digunakan dengan paket kebijakan GKE v1.5.0 Center for Internet Security (CIS) untuk membantu mengaudit kepatuhan cluster GKE di Google Cloud berdasarkan CIS Google Kubernetes Engine (GKE) Benchmarks v1.5.0. Benchmark ini adalah serangkaian kontrol keamanan yang direkomendasikan untuk mengonfigurasi GKE.

Paket batasan ini mencakup kontrol di domain berikut:

• RBAC dan akun layanan
• Kebijakan Keamanan Pod
• Kebijakan jaringan dan CNI
• Pengelolaan rahasia
• Kontrol Penerimaan yang Dapat Diperluas
• Kebijakan umum
• Layanan Terkelola

Catatan: Paket ini belum disertifikasi oleh CIS.

Batasan paket kebijakan CIS GKE v1.5.0

Nama Batasan	Deskripsi Batasan	ID Kontrol
cis-gke-v1.5.0-apparmor	Membatasi profil AppArmor untuk Pod.	4.2.1
cis-gke-v1.5.0-restrict-creation-with-default-serviceaccount	Membatasi pembuatan resource menggunakan ServiceAccount default.	4.1.5
cis-gke-v1.5.0-restrict-loadbalancer	Melarang semua layanan dengan jenis LoadBalancer.	5.6.8
cis-gke-v1.5.0-restrict-secrets-of-type-basic-auth	Membatasi penggunaan rahasia jenis autentikasi dasar.	4.4.2
cis-gke-v1.5.0-require-binauthz	Memerlukan Webhook Pendaftaran Validasi Otorisasi Biner.	4.5.1, 5.10.4
cis-gke-v1.5.0-require-cos-node-image	Memerlukan OS yang Dioptimalkan untuk Container sebagai OS image node.	5.5.1
cis-gke-v1.5.0-require-gke-metadata-server-enabled	Layanan Metadata GKE harus diaktifkan pada setiap node dalam cluster.	5.4.2
cis-gke-v1.5.0-require-ingress.class-gce	Mengharuskan semua objek Ingress memiliki anotasi kubernetes.io/ingress.class: gce.	5.6.8
cis-gke-v1.5.0-require-managed-certificates	Mengharuskan semua objek Ingress memiliki anotasi networking.gke.io/managed-certificates.	5.6.8
cis-gke-v1.5.0-require-namespace-networkpolicy	Mengharuskan bahwa setiap Namespace yang ditentukan dalam cluster memiliki NetworkPolicy.	4.3.2
cis-gke-v1.5.0-require-seccomp-default	Penampung tidak dapat dijalankan dengan profil seccomp selain runtime/default.	4.6.2
cis-gke-v1.5.0-require-securitycontext	Pod harus menentukan securityContext.	4.6.3
cis-gke-v1.5.0-capabilities	Penambahan kemampuan di luar yang tercantum tidak diizinkan.	4.2.1
cis-gke-v1.5.0-restrict-cluster-admin-role	Membatasi penggunaan peran cluster-admin.	4.1.1
cis-gke-v1.5.0-restrict-default-namespace	Membatasi pod agar tidak menggunakan Namespace default.	4.6.1, 4.6.4
cis-gke-v1.5.0-restrict-env-var-secrets	Membatasi penggunaan secret sebagai variabel lingkungan dalam definisi container.	4.4.1
cis-gke-v1.5.0-host-namespace	Membatasi penampung dengan hostPID atau hostIPC ditetapkan ke benar (true).	4.2.1
cis-gke-v1.5.0-restrict-pods-create	Membatasi pembuatan pod di Roles dan ClusterRoles.	4.1.4
cis-gke-v1.5.0-restrict-privileged-containers	Membatasi penampung dengan securityContext.privileged yang ditetapkan ke true (benar).	4.2.1
cis-gke-v1.5.0-restrict-rbac-subjects	Membatasi penggunaan nama dalam subjek RBAC ke nilai yang diizinkan.	5.8.2
cis-gke-v1.5.0-restrict-role-wildcards	Membatasi penggunaan karakter pengganti di Roles dan ClusterRoles.	4.1.3
cis-gke-v1.5.0-restrict-role-secrets	Membatasi penggunaan secret di Roles dan ClusterRoles.	4.1.2
cis-gke-v1.5.0-restrict-automountserviceaccounttoken	Membatasi penggunaan token akun layanan untuk pod.	4.1.5, 4.1.6
cis-gke-v1.5.0-selinux	Tidak dapat menetapkan jenis SELinux atau menetapkan opsi pengguna atau peran SELinux kustom.	4.2.1
cis-gke-v1.5.0-host-port	HostPorts seharusnya tidak diizinkan.	4.2.1
cis-gke-v1.5.0-hostpath-volumes	Volume HostPath harus dilarang.	4.2.1
cis-gke-v1.5.0-hostprocess	Penampung dan pod tidak dapat berjalan dengan securityContext.windowsOptions.hostProcess ditetapkan ke true.	4.2.1
cis-gke-v1.5.0-proc-mount-type	Penampung tidak dapat berjalan dengan procMount yang ditetapkan ke nilai selain Default.	4.2.1
cis-gke-v1.5.0-restrict-bind-escalate-impersonate	Membatasi akses ke pengikatan, eskalasikan, peniruan identitas pada peran/clusterrole di Roles dan ClusterRoles.	4.1.8
cis-gke-v1.5.0-restrict-certificatesigningrequests-approval	Persetujuan sertifikat klien dibatasi.	4.1.11
cis-gke-v1.5.0-restrict-nodes-proxy	Membatasi akses ke sub-resource proxy node di Roles dan ClusterRoles.	4.1.10
cis-gke-v1.5.0-restrict-persistent-volume	Membatasi pembuatan persistentvolumes di Roles dan ClusterRoles.	4.1.9
cis-gke-v1.5.0-restrict-serviceaccounts-token	Membatasi pembuatan token akun layanan di Roles dan ClusterRoles.	4.1.13
cis-gke-v1.5.0-restrict-system-masters-group	Melarang penggunaan grup system:masters.	5.1.7
cis-gke-v1.5.0-restrict-system-masters-group	Membatasi akses ke objek konfigurasi webhook di Roles dan ClusterRoles.	4.1.12
cis-gke-v1.5.0-seccomp	Profil Seccomp tidak boleh disetel ke Unconfined.	4.2.1
cis-gke-v1.5.0-sysctls	Container hanya dapat menetapkan sistem yang tercantum di kolom allowedSysctls.	4.2.1

Sebelum memulai

Perhatian: Paket kebijakan ini dimaksudkan untuk digunakan hanya dengan GKE di Google Cloud. Untuk cluster GKE lainnya, paket kebijakan CIS Kubernetes Benchmarks direkomendasikan.

1. Instal dan inisialisasi Google Cloud CLI, yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah diinstal sebelumnya.
2. Instal Pengontrol Kebijakan v1.16.2 atau yang lebih baru pada cluster Anda dengan library default template batasan. Anda juga harus mengaktifkan dukungan untuk batasan referensi, karena paket ini berisi batasan referensial.

Mengonfigurasi untuk batasan referensial

Peringatan: Anda dapat menimpa perubahan yang dilakukan. Jika sudah memiliki Config yang ada di namespace gatekeeper-system, Anda harus menyertakan semua setelan penyesuaian sebelumnya untuk mempertahankan perubahan.

1. Simpan manifes YAML berikut ke file sebagai policycontroller-config.yaml. Manifes mengonfigurasi Pengontrol Kebijakan untuk mengawasi jenis objek tertentu.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: "admissionregistration.k8s.io"
           version: "v1"
           kind: "ValidatingWebhookConfiguration"
         - group: "networking.k8s.io"
           version: "v1"
           kind: "NetworkPolicy"
   

2. Terapkan manifes policycontroller-config.yaml:

   kubectl apply -f policycontroller-config.yaml
   

Mengonfigurasi cluster dan beban kerja Anda

1. Pengaktifan dan konfigurasi Google Grup untuk RBAC diperlukan di cis-gke-v1.5.0-restrict-rbac-subjects.
2. Pengaktifan dan konfigurasi Otorisasi Biner diperlukan di cis-gke-v1.5.0-require-binauthz.

Mengaudit kebijakan

Dengan Pengontrol Kebijakan, Anda dapat menerapkan kebijakan untuk cluster Kubernetes Anda. Untuk membantu menguji workload Anda dan kepatuhannya terhadap kebijakan CIS GKE v1.5.0 yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkapkan dan menangani pelanggaran.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction yang ditetapkan ke dryrun menggunakan kubectl, kpt, atau Config Sync.

kubectl

1. (Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-gke-v1.5.0
   

2. Terapkan batasan kebijakan dengan kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-gke-v1.5.0
   

   Output-nya adalah sebagai berikut:

   k8savoiduseofsystemmastersgroup.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-system-masters-group created
   k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-creation-with-default-serviceaccount created
   k8sblockloadbalancer.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-loadbalancer created
   k8sblockobjectsoftype.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-secrets-of-type-basic-auth created
   k8snoenvvarsecrets.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-env-var-secrets created
   k8spspapparmor.constraints.gatekeeper.sh/cis-gke-v1.5.0-apparmor created
   k8spspcapabilities.constraints.gatekeeper.sh/cis-gke-v1.5.0-capabilities created
   k8spspforbiddensysctls.constraints.gatekeeper.sh/cis-gke-v1.5.0-sysctls created
   k8spsphostfilesystem.constraints.gatekeeper.sh/cis-gke-v1.5.0-hostpath-volumes created
   k8spsphostnamespace.constraints.gatekeeper.sh/cis-gke-v1.5.0-host-namespace created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/cis-gke-v1.5.0-host-port created
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/cis-gke-v1.5.0-privileged-containers created
   k8spspprocmount.constraints.gatekeeper.sh/cis-gke-v1.5.0-proc-mount-type created
   k8spspselinuxv2.constraints.gatekeeper.sh/cis-gke-v1.5.0-selinux created
   k8spspseccomp.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-seccomp-default created
   k8spspseccomp.constraints.gatekeeper.sh/cis-gke-v1.5.0-seccomp created
   k8spspwindowshostprocess.constraints.gatekeeper.sh/cis-gke-v1.5.0-hostprocess created
   k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-securitycontext created
   k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-role-wildcards created
   k8srequirebinauthz.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-binauthz created
   k8srequirecosnodeimage.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-cos-node-image created
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-namespace-networkpolicy created
   k8srequiredannotations.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-ingress.class-gce created
   k8srequiredannotations.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-managed-certificates created
   k8srequiredlabels.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-gke-metadata-server-enabled created
   k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-automountserviceaccounttoken created
   k8srestrictnamespaces.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-default-namespace created
   k8srestrictrbacsubjects.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-rbac-subjects created
   k8srestrictrolebindings.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-cluster-admin-role created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-bind-escalate-impersonate created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-certificatesigningrequests-approval created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-nodes-proxy created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-persistent-volume created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-pods-create created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-role-secrets created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-serviceaccounts-token created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-webhook-config created
   

3. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0
   

   Outputnya mirip dengan hal berikut ini:

   NAME                                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8savoiduseofsystemmastersgroup.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-system-masters-group   dryrun               0
   
   NAME                                                                                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-creation-with-default-serviceaccount   dryrun               0
   
   NAME                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockloadbalancer.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-loadbalancer   dryrun               0
   
   NAME                                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockobjectsoftype.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-secrets-of-type-basic-auth   dryrun               0
   
   NAME                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8snoenvvarsecrets.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-env-var-secrets   dryrun               0
   
   NAME                                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-securitycontext   dryrun               0
   
   NAME                                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-role-wildcards   dryrun               0
   
   NAME                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspapparmor.constraints.gatekeeper.sh/cis-gke-v1.5.0-apparmor   dryrun               0
   
   NAME                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspcapabilities.constraints.gatekeeper.sh/cis-gke-v1.5.0-capabilities   dryrun               0
   
   NAME                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspforbiddensysctls.constraints.gatekeeper.sh/cis-gke-v1.5.0-sysctls   dryrun               0
   
   NAME                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostfilesystem.constraints.gatekeeper.sh/cis-gke-v1.5.0-hostpath-volumes   dryrun               0
   
   NAME                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnamespace.constraints.gatekeeper.sh/cis-gke-v1.5.0-host-namespace   dryrun               0
   
   NAME                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnetworkingports.constraints.gatekeeper.sh/cis-gke-v1.5.0-host-port   dryrun               0
   
   NAME                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/cis-gke-v1.5.0-privileged-containers   dryrun               0
   
   NAME                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprocmount.constraints.gatekeeper.sh/cis-gke-v1.5.0-proc-mount-type   dryrun               0
   
   NAME                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspseccomp.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-seccomp-default   dryrun               0
   k8spspseccomp.constraints.gatekeeper.sh/cis-gke-v1.5.0-seccomp                   dryrun               0
   
   NAME                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspselinuxv2.constraints.gatekeeper.sh/cis-gke-v1.5.0-selinux   dryrun               0
   
   NAME                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspwindowshostprocess.constraints.gatekeeper.sh/cis-gke-v1.5.0-hostprocess   dryrun               0
   
   NAME                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirebinauthz.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-binauthz   dryrun               0
   
   NAME                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirecosnodeimage.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-cos-node-image   dryrun               0
   
   NAME                                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredannotations.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-ingress.class-gce      dryrun               0
   k8srequiredannotations.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-managed-certificates   dryrun               0
   
   NAME                                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredlabels.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-gke-metadata-server-enabled   dryrun               0
   
   NAME                                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-namespace-networkpolicy   dryrun               0
   
   NAME                                                                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-automountserviceaccounttoken   dryrun               0
   
   NAME                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictnamespaces.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-default-namespace   dryrun               0
   
   NAME                                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrbacsubjects.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-rbac-subjects   dryrun               0
   
   NAME                                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolebindings.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-cluster-admin-role   dryrun               0
   
   NAME                                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-bind-escalate-impersonate             dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-certificatesigningrequests-approval   dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-nodes-proxy                           dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-persistent-volume                     dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-pods-create                           dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-role-secrets                          dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-serviceaccounts-token                 dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-webhook-config                        dryrun               0
   

kpt

1. Penginstalan dan penyiapan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

2. Download paket kebijakan CIS dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-gke-v1.5.0
   

3. Jalankan fungsi set-enforcement-action kpt untuk menetapkan tindakan penegakan kebijakan ke dryrun:

   kpt fn eval cis-gke-v1.5.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
     -- enforcementAction=dryrun
   

4. Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:

   cd cis-gke-v1.5.0
   kpt live init
   

5. Terapkan batasan kebijakan dengan kpt:

   kpt live apply
   

6. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

   kpt live status --output table --poll-until current
   

   Status CURRENT mengonfirmasi penginstalan batasan yang berhasil.

Config Sync

1. Penginstalan dan penyiapan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

   Perhatian: Kpt v1.0.0-beta.17 dan yang lebih baru akan otomatis membuat file resourcegroup.yaml selama live init yang tidak boleh diperiksa ke dalam repositori Config Sync Anda. Jika belum ada, tambahkan resourcegroup.yaml ke file .gitignore repositori Anda.

   Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

2. Buat direktori policies khusus:

   mkdir -p policies
   

3. Download paket kebijakan CIS GKE v1.5.0 dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-gke-v1.5.0 policies/cis-gke-v1.5.0
   

4. Jalankan fungsi set-enforcement-action kpt untuk menetapkan tindakan penegakan kebijakan ke dryrun:

   kpt fn eval policies/cis-gke-v1.5.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

5. (Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

   kpt live init policies/cis-gke-v1.5.0
   kpt live apply --dry-run policies/cis-gke-v1.5.0
   

6. Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Kustomize, tambahkan policies/cis-gke-v1.5.0 ke kustomization.yaml root Anda. Jika tidak, hapus file policies/cis-gke-v1.5.0/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/cis-gke-v1.5.0/kustomization.yaml
   

7. Kirim perubahan ke repositori Config Sync:

   git add SYNC_ROOT_DIR/policies/cis-gke-v1.5.0
   git commit -m 'Adding CIS GKE v1.5.0 policy bundle'
   git push
   

8. Verifikasi status penginstalan:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Status SYNCED mengonfirmasi penginstalan kebijakan.

Lihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran di cluster menggunakan perintah berikut:

kubectl get constraint -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Jika ada pelanggaran, listingan pesan pelanggaran per batasan dapat dilihat dengan:

kubectl get constraint -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Mengubah tindakan penegakan paket kebijakan CIS GKE v1.5.0

Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan untuk mengubah mode penerapan sehingga Pengontrol Pendaftaran akan warn aktif atau bahkan deny memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.

Peringatan: Tindakan penerapan deny harus digunakan dengan hati-hati karena dapat berpotensi memblokir perubahan yang diperlukan, sehingga mengakibatkan gangguan pada beban kerja penting atau cluster. Sangat disarankan agar hanya tindakan penerapan warn atau dryrun yang digunakan pada cluster dengan beban kerja produksi, saat menguji batasan baru, atau melakukan migrasi seperti mengupgrade platform. Untuk mengetahui informasi selengkapnya tentang tindakan penegakan kebijakan, lihat Mengaudit menggunakan batasan.

kubectl

1. Gunakan kubectl untuk menetapkan tindakan penerapan kebijakan ke warn:

   kubectl get constraint -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Pastikan tindakan penerapan batasan kebijakan telah diperbarui:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0
   

kpt

1. Jalankan fungsi set-enforcement-action kpt untuk menetapkan tindakan penegakan kebijakan ke warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Terapkan batasan kebijakan:

   kpt live apply
   

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

2. Jalankan fungsi set-enforcement-action kpt untuk menetapkan tindakan penegakan kebijakan ke warn:

   kpt fn eval policies/cis-gke-v1.5.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Kirim perubahan ke repositori Config Sync:

   git add SYNC_ROOT_DIR/policies/cis-gke-v1.5.0
   git commit -m 'Adding CIS GKE v1.5.0 policy bundle warn enforcement'
   git push
   

4. Verifikasi status penginstalan:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repositori Anda yang muncul di kolom SYNCED akan mengonfirmasi penginstalan kebijakan.

Menguji penegakan kebijakan

Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

Pengontrol penerimaan harus menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilanggar oleh resource ini, seperti ditunjukkan dalam contoh berikut:

Warning: [cis-gke-v1.5.0-restrict-default-namespace] <default> namespace is restricted
Warning: [cis-gke-v1.5.0-require-seccomp-default] Seccomp profile 'not configured' is not allowed for container 'wordpress'. Found at: no explicit profile found. Allowed profiles: {"RuntimeDefault", "runtime/default"}
Warning: [cis-gke-v1.5.0-require-securitycontext] securityContext must be defined for all Pod containers
pod/wp-non-compliant configured

Menghapus paket kebijakan CIS GKE v1.5.0

Jika perlu, paket kebijakan CIS GKE v1.5.0 dapat dihapus dari cluster.

kubectl

Gunakan kubectl untuk menghapus kebijakan:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0
  

kpt

Hapus kebijakan:

  kpt live destroy
  

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Kirim perubahan ke repositori Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/cis-gke-v1.5.0
   git commit -m 'Removing CIS GKE v1.5.0 policy bundle'
   git push
   

2. Verifikasi statusnya:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repositori Anda yang muncul di kolom SYNCED akan mengonfirmasi penghapusan kebijakan.