CIS Kubernetes 벤치마크 정책 제약조건 사용

정책 컨트롤러는 CIS 번들과 함께 사용되어 CIS Kubernetes 벤치마크에 대해 클러스터의 규정 준수를 감사할 수 있는 제약조건 템플릿의 기본 라이브러리와 함께 제공됩니다. 이 벤치마크는 강력한 보안 수준 지원을 위한 Kubernetes 구성 권장 수준 집합입니다.

이 제약조건 번들은 다음 도메인에서 정책을 적용하고 시행합니다.

  • RBAC 및 서비스 계정
  • Pod 보안 정책
  • 네트워크 정책 및 CNI
  • 보안 비밀 관리
  • 일반 정책

아직 CIS의 인증을 받지 않았습니다.

번들은 CIS 벤치마크의 해당 컨트롤을 충족하기 위해 다음과 같은 제약 조건을 포함합니다.

제약조건 제어 ID 제어 설명
psp-privileged-container 5.2.1 권한이 있는 컨테이너 허용을 최소화합니다.
psp-host-namespace 5.2.2 호스트 프로세스 ID 네임스페이스를 공유하려는 컨테이너 허용을 최소화합니다.
5.2.3 호스트 IPC 네임스페이스를 공유하려는 컨테이너 허용을 최소화합니다.
psp-host-network-ports 5.2.4 호스트 네트워크 네임스페이스를 공유하려는 컨테이너 허용을 최소화합니다.
psp-allow-privilege-escalation-container 5.2.5 allowPrivilegeEscalation으로 컨테이너 허용을 최소화합니다.
psp-pods-must-run-as-nonroot 5.2.6 루트 컨테이너 허용을 최소화합니다.
psp-capabilities 5.2.7 NET_RAW 기능으로 컨테이너 허용을 최소화합니다.
5.2.8 추가된 기능으로 컨테이너 허용을 최소화합니다.
5.2.9 할당된 기능으로 컨테이너 허용을 최소화합니다.
require-namespace-network-policies 5.3.2 모든 네임스페이스에 네트워크 정책이 정의되어 있는지 확인합니다.
no-secrets-as-env-vars 5.4.1 보안 비밀을 환경 변수로 사용하는 대신 보안 비밀을 파일로 사용하는 것을 선호합니다.
psp-seccomp-docker-default 5.7.2 포드 정의에서 seccomp 프로필이 docker/default로 설정되었는지 확인합니다.
pods-require-security-context 5.7.3 포드 및 컨테이너에 보안 컨텍스트를 적용합니다.

시작하기 전에

  1. 이 안내에서 사용되는 gcloudkubectl 명령어를 제공하는 Google Cloud CLI를 설치하고 초기화합니다. Cloud Shell을 사용하는 경우 Google Cloud CLI가 사전 설치됩니다.
  2. kpt를 설치하고 설정합니다. 이 안내에서는 kpt를 사용하여 Kubernetes 리소스를 맞춤설정하고 배포합니다.
  3. Anthos Config Management를 처음 사용하는 경우 Anthos Config Management를 사용 설정합니다.
  4. 클러스터에 정책 컨트롤러가 설치된 Kubernetes 버전 1.14.x 이상을 실행하는 클러스터를 만들거나 액세스할 수 있는지 확인합니다. 정책 컨트롤러 설치에 대한 자세한 내용은 정책 컨트롤러 설치를 참조하세요.
  5. 선택사항: 구성 동기화를 설치하고 클러스터를 Google 샘플 저장소에 동기화합니다. 이 저장소에는 정책 컨트롤러의 CIS 제약조건이 미리 채워집니다. 자세한 내용은 구성 동기화 설치를 참조하세요.

정책 컨트롤러로 CIS 정책 감사

정책 컨트롤러를 사용하면 Kubernetes 클러스터에 정책을 적용할 수 있습니다. 앞의 테이블에서 설명된 CIS 정책과 관련하여 워크로드 및 규정 준수를 테스트하는 데 도움이 되도록, '감사' 모드에서 이러한 제약조건을 배포하여 위반 사항을 표시할 수 있고 더 중요하게는 Kubernetes 클러스터에 적용하기 전에 문제를 해결할 기회를 가질 수 있습니다.

kpt 또는 구성 동기화를 사용하여 dryrun으로 설정된 spec.enforcementAction으로 이러한 정책을 적용할 수 있습니다.

kpt

  1. kpt를 사용하여 GitHub에서 CIS 정책 번들을 다운로드합니다.

    kpt pkg get https://github.com/GoogleCloudPlatform/acm-policy-controller-library.git/bundles/cis-k8s-v1.5.1
    
  2. set-enforcement-action kpt 함수를 실행하여 정책의 시행 작업을 dryrun으로 설정합니다.

    kpt fn eval cis-k8s-v1.5.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
      -- enforcementAction=dryrun
    
  3. 변경사항을 추적하는 리소스를 만드는 kpt로 작업 디렉터리를 초기화합니다.

    cd cis-k8s-v1.5.1
    kpt live init
    
  4. kpt로 정책 제약조건을 적용합니다.

    kpt live apply
    

    출력은 다음과 같습니다.

    k8spspseccomp.constraints.gatekeeper.sh/psp-seccomp-docker-default created
    k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/pods-require-security-context created
    k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/prohibit-role-wildcard-access created
    k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/require-namespace-network-policies created
    k8snoenvvarsecrets.constraints.gatekeeper.sh/no-secrets-as-env-vars created
    k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/psp-allow-privilege-escalation-container created
    k8spspallowedusers.constraints.gatekeeper.sh/psp-pods-must-run-as-nonroot created
    k8spsphostnetworkingports.constraints.gatekeeper.sh/psp-host-network-ports created
    k8srestrictrolebindings.constraints.gatekeeper.sh/restrict-clusteradmin-rolebindings created
    k8spspcapabilities.constraints.gatekeeper.sh/psp-capabilities created
    k8spsphostnamespace.constraints.gatekeeper.sh/psp-host-namespace created
    k8spspprivilegedcontainer.constraints.gatekeeper.sh/psp-privileged-container created
    13 resource(s) applied. 13 created, 0 unchanged, 0 configured, 0 failed
    
  5. 정책 제약조건이 설치되었는지 확인하고 클러스터 전체에 위반 사항이 있는지 확인합니다.

    kpt live status --output table --poll-until current
    

    CURRENT 상태는 제약조건이 성공적으로 설치되었음을 확인합니다.

구성 동기화

구성 동기화를 사용하여 클러스터에 정책을 배포하는 운영자는 다음 안내를 따르세요.

  1. 구성 동기화의 동기화 디렉터리로 변경합니다.

    cd SYNC_ROOT_DIR
    
  2. kpt를 사용하여 GitHub에서 CIS 정책 번들을 다운로드합니다.

    kpt pkg get git@github.com:GoogleCloudPlatform/acm-policy-controller-library.git/bundles/cis-k8s-v1.5.1 policy/cis
    
  3. set-enforcement-action kpt 함수를 실행하여 정책의 시행 작업을 dryrun으로 설정합니다.

    kpt fn eval policy/cis/cis-k8s-v1.5.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
    
  4. 생성될 정책 제약조건을 미리 봅니다.

    kpt live init policy/cis/cis-k8s-v1.5.1
    kpt live apply --dry-run policy/cis/cis-k8s-v1.5.1
    

    출력은 다음과 같습니다.

    k8spsphostnamespace.constraints.gatekeeper.sh/psp-host-namespace created (dry-run)
    k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/pods-require-security-context created (dry-run)
    k8srestrictnamespaces.constraints.gatekeeper.sh/restrict-default-namespace created (dry-run)
    k8srestrictrolebindings.constraints.gatekeeper.sh/restrict-clusteradmin-rolebindings created (dry-run)
    k8snoenvvarsecrets.constraints.gatekeeper.sh/no-secrets-as-env-vars created (dry-run)
    k8spspallowedusers.constraints.gatekeeper.sh/psp-pods-must-run-as-nonroot created (dry-run)
    k8spsphostnetworkingports.constraints.gatekeeper.sh/psp-host-network-ports created (dry-run)
    k8spspprivilegedcontainer.constraints.gatekeeper.sh/psp-privileged-container created (dry-run)
    k8spspseccomp.constraints.gatekeeper.sh/psp-seccomp-docker-default created (dry-run)
    k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/prohibit-role-wildcard-access created (dry-run)
    k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/require-namespace-network-policies created (dry-run)
    k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/psp-allow-privilege-escalation-container created (dry-run)
    k8spspcapabilities.constraints.gatekeeper.sh/psp-capabilities created (dry-run)
    13 resource(s) applied. 13 created, 0 unchanged, 0 configured, 0 failed (dry-run)
    
  5. 구성 동기화 저장소에 변경사항을 푸시합니다.

    git add SYNC_ROOT_DIR/policy/cis
    git commit -m 'Adding CIS policy audit enforcement'
    git push
    
  6. 설치 상태를 확인합니다.

    watch gcloud beta container hub config-management status --project PROJECT_ID
    

    SYNCED 상태는 정책 설치를 확인합니다.

정책 위반 보기

정책 제약조건이 감사 모드로 설치되면 다음 명령을 사용하여 클러스터에 대한 위반 사항을 볼 수 있습니다.

kubectl get constraint -o json | jq -cC '.items[]| [.kind,.status.totalViolations]'

Cloud Logging에서 위반사항을 보려는 경우 로그 탐색기 페이지로 이동하세요.

로그 탐색기로 이동

쿼리 편집기에서 다음 필터를 사용하여 위반 로그를 모니터링합니다.

resource.type="k8s_container"
resource.labels.location=CLUSTER_LOCATION
resource.labels.namespace_name="gatekeeper-system"
resource.labels.pod_name:"gatekeeper-audit-"
jsonPayload.process: "audit"
jsonPayload.event_type: "violation_audited"
jsonPayload.constraint_name:*
jsonPayload.constraint_namespace:*

CIS 정책 적용

클러스터에서 정책 위반을 검토하면 다음 단계로 이러한 정책을 시행하여 허용 컨트롤러에서 정책을 준수하지 않는 리소스가 클러스터에 적용되지 않도록 합니다.

kpt

  1. set-enforcement-action kpt 함수를 실행하여 정책의 시행 작업을 deny으로 설정합니다.

    kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=deny
    
  2. 정책 제약조건을 적용합니다.

    kpt live apply
    

구성 동기화

구성 동기화를 사용하여 클러스터에 정책을 배포하는 운영자는 다음 안내를 따르세요.

  1. 구성 동기화의 동기화 디렉터리로 변경합니다.

    cd SYNC_ROOT_DIR
    
  2. set-enforcement-action kpt 함수를 실행하여 정책의 시행 작업을 deny으로 설정합니다.

    kpt fn eval policy/cis/cis-k8s-v1.5.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=deny
    
  3. 구성 동기화 저장소에 변경사항을 푸시합니다.

    git add SYNC_ROOT_DIR/policy/cis
    git commit -m 'Enforcing CIS policies for GKE'
    git push
    
  4. 설치 상태를 확인합니다.

    gcloud alpha anthos config sync repo list --project PROJECT_ID
    

    SYNCED 열에 표시된 저장소는 정책 설치를 확인합니다.

테스트 정책 시행

빠른 테스트를 수행하여 클러스터에서 준수하지 않은 리소스의 정책 시행과 차단을 확인합니다.

다음 명령어를 사용하여 클러스터에 정책을 준수하지 않는 리소스를 만듭니다.

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: wp
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

허용 컨트롤러는 이 리소스가 위반하는 정책 위반을 나열하는 오류를 생성해야 합니다.