Se usó la API de Cloud Translation para traducir esta página.

Usar restricciones de políticas de CIS para Kubernetes Benchmark v1.5.1

El controlador de políticas viene con una biblioteca predeterminada de plantillas de restricciones que se pueden usar con el paquete CIS para auditar el cumplimiento del clúster en relación con la CIS Kubernetes Benchmark v1.5.1. Esta comparativa es un conjunto de recomendaciones para configurar Kubernetes de modo que posibiliten una postura de seguridad sólida.

Este conjunto de restricciones aborda las políticas y las aplica en los siguientes dominios:

RBAC y cuentas de servicio
Políticas de seguridad de los pods
Políticas de red y CNI
Administración de secretos
Políticas generales

Restricciones del paquete de políticas de CIS en Kubernetes v1.5.1

Nombre de la restricción	Descripción de control	ID de control
cis-k8s-v1.5.1-restrict-clusteradmin-rolebindings.yaml	Restringe el uso del rol “cluster-admin”.	5.1.1
cis-k8s-v1.5.1-prohibit-role-wildcard-access.yaml	Restringe el uso de comodines en `Roles` y `ClusterRoles`	5.1.3
cis-k8s-v1.5.1-psp-privileged-container.yaml	Minimiza la admisión de contenedores privilegiados.	5.2.1
cis-k8s-v1.5.1-psp-host-namespace.yaml	Minimiza la admisión de contenedores con la intención de compartir el espacio de nombres del ID de proceso del host.	5.2.2
cis-k8s-v1.5.1-psp-host-namespace.yaml	Minimiza la admisión de contenedores con la intención de compartir el espacio de nombres de IPC del host.	5.2.3
cis-k8s-v1.5.1-psp-host-network-ports	Minimiza la admisión de contenedores con la intención de compartir el espacio de nombres de la red host.	5.2.4
cis-k8s-v1.5.1-psp-allow-privilege-escalation-container	Minimiza la admisión de contenedores con allowPrivilegeEscalation.	5.2.5
cis-k8s-v1.5.1-psp-pods-must-run-as-nonroot	Minimiza la admisión de contenedores raíz.	5.2.6
cis-k8s-v1.5.1-psp-capabilities	Minimiza la admisión de contenedores mediante la capacidad NET_RAW.	5.2.7
	Minimiza la admisión de contenedores con capacidades adicionales.	5.2.8
	Minimiza la admisión de contenedores con capacidades asignadas.	5.2.9
cis-k8s-v1.5.1-require-namespace-network-policies	Asegúrate de que todos los espacios de nombres tengan políticas de red definidas.	5.3.2
cis-k8s-v1.5.1-no-secrets-as-env-vars	Prefiere el uso de Secrets como archivos en lugar de Secrets como variables de entorno.	5.4.1
cis-k8s-v1.5.1-psp-seccomp-default	Asegúrate de que el perfil de seccomp esté configurado como “docker/default” en las definiciones de tu Pod.	5.7.2
cis-k8s-v1.5.1-pods-require-security-context	Aplica el contexto de seguridad a tus Pods y contenedores.	5.7.3

Antes de comenzar

Instala y, luego, inicializa Google Cloud CLI, que proporciona los comandos gcloud y kubectl que se usan en estas instrucciones. Si usas Cloud Shell, Google Cloud CLI viene preinstalada.
Instala el controlador de políticas en tu clúster con la biblioteca predeterminada de plantillas de restricciones. También debes habilitar la compatibilidad con restricciones referenciales, ya que este paquete contiene restricciones referenciales.

Configura el controlador de políticas para restricciones referenciales

Guarda el siguiente manifiesto YAML en un archivo como policycontroller-config.yaml. El manifiesto configura Policy Controller para observar tipos específicos de objetos.

apiVersion: config.gatekeeper.sh/v1alpha1
kind: Config
metadata:
  name: config
  namespace: "gatekeeper-system"
spec:
  sync:
    syncOnly:
      - group: ""
        version: "v1"
        kind: "Namespace"
      - group: "networking.k8s.io"
        version: "v1"
        kind: "NetworkPolicy"

Aplica el manifiesto policycontroller-config.yaml:
```
kubectl apply -f policycontroller-config.yaml
```

Audita el paquete de políticas de Kubernetes v1.5.1 de CIS

El Controlador de políticas te permite aplicar políticas a tu clúster de Kubernetes. Para ayudar a probar tus cargas de trabajo y su cumplimiento con respecto a las políticas de CIS que se describen en la tabla anterior, puedes implementar estas restricciones en modo de “auditoría” para revelar infracciones y, lo que es más importante, tener la oportunidad corregirlos antes de aplicarlos en tu clúster de Kubernetes.

Puedes aplicar estas políticas con spec.enforcementAction configurado como dryrun mediante kubectl, kpt o el Sincronizador de configuración.

kubectl

(Opcional) Obtén una vista previa de las restricciones de la política con kubectl:

kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/cis-k8s-v1.5.1

Aplica las restricciones de la política con kubectl:

kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/cis-k8s-v1.5.1

Esta es la salida:

k8snoenvvarsecrets.constraints.gatekeeper.sh/cis-k8s-v1.5.1-no-secrets-as-env-vars created
k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-allow-privilege-escalation created
k8spspallowedusers.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-pods-must-run-as-nonroot created
k8spspcapabilities.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-capabilities created
k8spsphostnamespace.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-host-namespace created
k8spsphostnetworkingports.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-host-network-ports created
k8spspprivilegedcontainer.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-privileged-container created
k8spspseccomp.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-seccomp-default created
k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/cis-k8s-v1.5.1-pods-require-security-context created
k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/cis-k8s-v1.5.1-prohibit-role-wildcard-access created
k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/cis-k8s-v1.5.1-require-namespace-network-policies created
k8srestrictrolebindings.constraints.gatekeeper.sh/cis-k8s-v1.5.1-restrict-clusteradmin-rolebindings created

Verifica que se hayan instalado las restricciones de políticas y verifica si las infracciones existen en el clúster:

kubectl get -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/cis-k8s-v1.5.1

El resultado es similar al siguiente:

NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8snoenvvarsecrets.constraints.gatekeeper.sh/cis-k8s-v1.5.1-no-secrets-as-env-vars   dryrun               0

NAME                                                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-allow-privilege-escalation   dryrun               0

NAME                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspallowedusers.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-pods-must-run-as-nonroot   dryrun               0

NAME                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspcapabilities.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-capabilities   dryrun               0

NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spsphostnamespace.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-host-namespace   dryrun               0

NAME                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spsphostnetworkingports.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-host-network-ports   dryrun               0

NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspprivilegedcontainer.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-privileged-container   dryrun               0

NAME                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspseccomp.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-seccomp-default   dryrun               0

NAME                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/cis-k8s-v1.5.1-pods-require-security-context   dryrun               0

NAME                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/cis-k8s-v1.5.1-prohibit-role-wildcard-access   dryrun               0

NAME                                                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/cis-k8s-v1.5.1-require-namespace-network-policies   dryrun               0

NAME                                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictrolebindings.constraints.gatekeeper.sh/cis-k8s-v1.5.1-restrict-clusteradmin-rolebindings   dryrun               0

kpt

Instala y configura kpt. En estas instrucciones, se usa kpt para personalizar e implementar los recursos de Kubernetes.

Descarga el paquete de políticas de CIS desde GitHub mediante kpt:

kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/cis-k8s-v1.5.1

Ejecuta la función kpt set-enforcement-action para establecer la acción de aplicación de las políticas en dryrun:
```
kpt fn eval cis-k8s-v1.5.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
  -- enforcementAction=dryrun
```
Inicializa el directorio de trabajo con kpt, que crea un recurso para realizar un seguimiento de los cambios:
```
cd cis-k8s-v1.5.1
kpt live init
```

Aplica las restricciones de políticas con kpt:

kpt live apply

Este es el resultado:

k8spspseccomp.constraints.gatekeeper.sh/psp-seccomp-docker-default created
k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/pods-require-security-context created
k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/prohibit-role-wildcard-access created
k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/require-namespace-network-policies created
k8snoenvvarsecrets.constraints.gatekeeper.sh/no-secrets-as-env-vars created
k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/psp-allow-privilege-escalation-container created
k8spspallowedusers.constraints.gatekeeper.sh/psp-pods-must-run-as-nonroot created
k8spsphostnetworkingports.constraints.gatekeeper.sh/psp-host-network-ports created
k8srestrictrolebindings.constraints.gatekeeper.sh/restrict-clusteradmin-rolebindings created
k8spspcapabilities.constraints.gatekeeper.sh/psp-capabilities created
k8spsphostnamespace.constraints.gatekeeper.sh/psp-host-namespace created
k8spspprivilegedcontainer.constraints.gatekeeper.sh/psp-privileged-container created
13 resource(s) applied. 13 created, 0 unchanged, 0 configured, 0 failed

Verifica que se hayan instalado las restricciones de políticas y verifica si las infracciones existen en el clúster:
```
kpt live status --output table --poll-until current
```
Un estado CURRENT confirma que la instalación de las restricciones se realizó de forma correcta.

Sincronizador de configuración

Instala y configura kpt. En estas instrucciones, se usa kpt para personalizar e implementar los recursos de Kubernetes.

Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:

Cambia al directorio del Sincronizador de configuración:
```
cd SYNC_ROOT_DIR
```
Nota: Kpt v1.0.0-beta.17 y las versiones posteriores crean automáticamente un archivo resourcegroup.yaml durante live init que no se debe registrar en el repositorio del Sincronizador de configuración. Si aún no está presente, agrega resourcegroup.yaml al archivo .gitignore del repositorio.

Para crear o agregar .gitignore con resourcegroup.yaml, haz lo siguiente:
```
echo resourcegroup.yaml >> .gitignore
```
Crea un directorio policies dedicado:
```
mkdir -p policies
```

Descarga el paquete de políticas de CIS desde GitHub mediante kpt:

kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/cis-k8s-v1.5.1 policies/cis-k8s-v1.5.1

Ejecuta la función kpt set-enforcement-action para establecer la acción de aplicación de las políticas en dryrun:
```
kpt fn eval policies/cis-k8s-v1.5.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
```

(Opcional) Obtén una vista previa de las restricciones de la política que se crearán:

kpt live init policies/cis-k8s-v1.5.1
kpt live apply --dry-run policies/cis-k8s-v1.5.1

Esta es la salida:

Dry-run strategy: client
inventory update started
inventory update finished
apply phase started
k8snoenvvarsecrets.constraints.gatekeeper.sh/cis-k8s-v1.5.1-no-secrets-as-env-vars apply successful
k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-allow-privilege-escalation apply successful
k8spspallowedusers.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-pods-must-run-as-nonroot apply successful
k8spspcapabilities.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-capabilities apply successful
k8spsphostnamespace.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-host-namespace apply successful
k8spsphostnetworkingports.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-host-network-ports apply successful
k8spspprivilegedcontainer.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-privileged-container apply successful
k8spspseccomp.constraints.gatekeeper.sh/cis-k8s-v1.5.1-psp-seccomp-default apply successful
k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/cis-k8s-v1.5.1-pods-require-security-context apply successful
k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/cis-k8s-v1.5.1-prohibit-role-wildcard-access apply successful
k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/cis-k8s-v1.5.1-require-namespace-network-policies apply successful
k8srestrictrolebindings.constraints.gatekeeper.sh/cis-k8s-v1.5.1-restrict-clusteradmin-rolebindings apply successful
apply phase finished
inventory update started
inventory update finished
apply result: 12 attempted, 12 successful, 0 skipped, 0 failed

Si tu directorio de sincronización para el Sincronizador de configuración usa Kustomize, agrega policies/cis-k8s-v1.5.1 a tu kustomization.yaml raíz. De lo contrario, quita el archivo policies/cis-k8s-v1.5.1/kustomization.yaml:
```
rm SYNC_ROOT_DIR/policies/cis-k8s-v1.5.1/kustomization.yaml
```

Envía los cambios al repositorio del Sincronizador de configuración:

git add SYNC_ROOT_DIR/policies/cis-k8s-v1.5.1
git commit -m 'Adding CIS policy audit enforcement'
git push

Verifica el estado de la instalación:
```
watch gcloud beta container fleet config-management status --project PROJECT_ID
```
Un estado de SYNCED confirma la instalación de las políticas.

Visualiza incumplimientos de políticas

Una vez que se instalan las restricciones de políticas en el modo de auditoría, los incumplimientos del clúster se pueden ver en la IU mediante el Panel de Policy Controller.

También puedes usar kubectl para ver los incumplimientos en el clúster mediante el siguiente comando:

kubectl get constraint -l policycontroller.gke.io/bundleName=cis-k8s-v1.5.1 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Si hay incumplimientos, se puede ver una lista de los mensajes de incumplimiento por restricción con lo siguiente:

kubectl get constraint -l policycontroller.gke.io/bundleName=cis-k8s-v1.5.1 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Cambiar la acción de aplicación del paquete de políticas de CIS en Kubernetes v1.5.1

Una vez que hayas revisado los incumplimientos de políticas en tu clúster, puedes cambiar el modo de aplicación para que el controlador de admisión warn en o incluso deny bloquee la aplicación del recurso que no cumple con las políticas en el clúster.

kubectl

Usa kubectl para establecer la acción de aplicación de las políticas en warn:

kubectl get constraint -l policycontroller.gke.io/bundleName=cis-k8s-v1.5.1 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'

Verifica que se haya actualizado la acción de aplicación de restricciones de la política:
```
kubectl get constraint -l policycontroller.gke.io/bundleName=cis-k8s-v1.5.1
```

kpt

Ejecuta la función kpt set-enforcement-action para establecer la acción de aplicación de las políticas en warn:
```
kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
```
Aplica las restricciones de la política:
```
kpt live apply
```

Sincronizador de configuración

Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:

Cambia al directorio del Sincronizador de configuración:
```
cd SYNC_ROOT_DIR
```
Ejecuta la función kpt set-enforcement-action para establecer la acción de aplicación de las políticas en warn:
```
kpt fn eval policies/cis-k8s-v1.5.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
```

Envía los cambios al repositorio del Sincronizador de configuración:

git add SYNC_ROOT_DIR/policies/cis-k8s-v1.5.1
git commit -m 'Adding CIS Kubernetes v1.5.1 policy bundle warn enforcement'
git push

Verifica el estado de la instalación:
```
gcloud alpha anthos config sync repo list --project PROJECT_ID
```
El repositorio que aparece en la columna SYNCED confirma la instalación de las políticas.

Aplicación de la política de prueba

Crea un recurso que no cumpla con las políticas en el clúster con el siguiente comando:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

El controlador de admisión debe producir una advertencia en la que se enumeren los incumplimientos de política que infringe este recurso, como se muestra en el siguiente ejemplo:

Warning: [cis-k8s-v1.5.1-psp-pods-must-run-as-nonroot] Container wordpress is attempting to run without a required securityContext/runAsNonRoot or securityContext/runAsUser != 0
Warning: [cis-k8s-v1.5.1-psp-allow-privilege-escalation] Privilege escalation container is not allowed: wordpress
Warning: [cis-k8s-v1.5.1-psp-seccomp-default] Seccomp profile 'not configured' is not allowed for container 'wordpress'. Found at: no explicit profile found. Allowed profiles: {"RuntimeDefault", "docker/default", "runtime/default"}
Warning: [cis-k8s-v1.5.1-psp-capabilities] container <wordpress> is not dropping all required capabilities. Container must drop all of ["NET_RAW"] or "ALL"
Warning: [cis-k8s-v1.5.1-pods-require-security-context] securityContext must be defined for all Pod containers
pod/wp-non-compliant created

Quitar el paquete de políticas de CIS para Kubernetes v1.5.1

Si es necesario, el paquete de políticas CIS K8s se puede quitar del clúster.

kubectl

Usa kubectl para quitar las políticas:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=cis-k8s-v1.5.1

kpt

Quita las políticas:

  kpt live destroy

Sincronizador de configuración

Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:

Envía los cambios al repositorio del Sincronizador de configuración:

git rm -r SYNC_ROOT_DIR/policies/cis-k8s-v1.5.1
git commit -m 'Removing CIS policies'
git push

Verifica el estado:
```
gcloud alpha anthos config sync repo list --project PROJECT_ID
```
El repositorio que aparece en la columna SYNCED confirma la eliminación de las políticas.