Menggunakan batasan Kebijakan Keamanan Pod

Pengontrol Kebijakan dilengkapi library default berisi template batasan yang dapat digunakan dengan paket Kebijakan Keamanan Pod untuk mendapatkan banyak perlindungan yang sama seperti Kebijakan Keamanan Pod Kubernetes (PSP), dengan kemampuan tambahan untuk menguji kebijakan sebelum menerapkannya dan mengecualikan cakupan resource tertentu.

Paket ini mencakup batasan berikut yang menyediakan parameter yang memetakan ke Nama Kolom Kebijakan Keamanan Pod Kubernetes (PSP) berikut (ID Kontrol):

Nama Batasan	Deskripsi Batasan	ID Kontrol&nbsp
psp-v2022-psp-allow-privilege-escalation	Membatasi eskalasi ke hak istimewa root	allowPrivilegeEscalation
psp-v2022-psp-apparmor	Profil AppArmor yang digunakan oleh container	anotasi
psp-v2022-psp-capabilities	Kemampuan Linux	allowCapabilities, requiredDropCapabilities
psp-v2022-flexvolume-drivers	Izinkan driver FlexVolume tertentu	allowedFlexVolumes
psp-v2022-psp-forbidden-sysctls	Profil sysctl yang digunakan oleh container	forbiddenSysctls
psp-v2022-psp-fsgroup	Mengalokasikan FSGroup yang memiliki volume pod	fsGroup
psp-v2022-psp-host-filesystem	Penggunaan sistem file {i>host<i}	allowedHostPaths
psp-v2022-psp-host-namespace	Penggunaan namespace host	hostPID, hostIPC
psp-v2022-psp-host-network-ports	Penggunaan jaringan dan port host	{i>hostNetwork<i}, {i>hostPorts<i}
psp-v2022-psp-privileged-container	Menjalankan container dengan hak istimewa	hak istimewa
psp-v2022-psp-proc-mount	Jenis Pemasangan Proc yang Diizinkan untuk container	allowedProcMountTypes
psp-v2022-psp-readonlyrootfilesystem	Mewajibkan penggunaan sistem file root hanya baca	readOnlyRootFilesystem
psp-v2022-psp-seccomp	Profil seccomp yang digunakan oleh container	anotasi
psp-v2022-psp-selinux-v2	Konteks container SELinux	seLinux
psp-v2022-psp-pods-allowed-user-ranges	ID pengguna dan grup penampung	runAsUser, runAsGroup, additionalGroups, fsGroup
psp-v2022-psp-volume-types	Penggunaan jenis volume	volume

Sebelum memulai

1. Instal dan inisialisasi Google Cloud CLI, yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah diinstal sebelumnya.
2. Instal Pengontrol Kebijakan di cluster Anda dengan library default template batasan.

Mengaudit paket kebijakan Keamanan Pod

Pengontrol Kebijakan memungkinkan Anda menerapkan kebijakan untuk cluster Kubernetes Anda. Untuk membantu menguji beban kerja dan kepatuhannya terhadap praktik terbaik yang direkomendasikan Google yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkapkan pelanggaran dan yang lebih penting lagi, memberi Anda kesempatan untuk memperbaikinya sebelum menerapkannya di cluster Kubernetes Anda.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction yang ditetapkan ke dryrun menggunakan kubectl, kpt, atau Config Sync.

kubectl

1. (Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/psp-v2022
   

2. Terapkan batasan kebijakan dengan kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/psp-v2022
   

   Output-nya adalah sebagai berikut:

   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/psp-v2022-psp-allow-privilege-escalation created
   k8spspallowedusers.constraints.gatekeeper.sh/psp-v2022-psp-pods-allowed-user-ranges created
   k8spspapparmor.constraints.gatekeeper.sh/psp-v2022-psp-apparmor created
   k8spspcapabilities.constraints.gatekeeper.sh/psp-v2022-psp-capabilities created
   k8spspfsgroup.constraints.gatekeeper.sh/psp-v2022-psp-fsgroup created
   k8spspflexvolumes.constraints.gatekeeper.sh/psp-v2022-psp-flexvolume-drivers created
   k8spspforbiddensysctls.constraints.gatekeeper.sh/psp-v2022-psp-forbidden-sysctls created
   k8spsphostfilesystem.constraints.gatekeeper.sh/psp-v2022-psp-host-filesystem created
   k8spsphostnamespace.constraints.gatekeeper.sh/psp-v2022-psp-host-namespace created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/psp-v2022-psp-host-network-ports created
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/psp-v2022-psp-privileged-container created
   k8spspprocmount.constraints.gatekeeper.sh/psp-v2022-psp-proc-mount created
   k8spspreadonlyrootfilesystem.constraints.gatekeeper.sh/psp-v2022-psp-readonlyrootfilesystem created
   k8spspselinuxv2.constraints.gatekeeper.sh/psp-v2022-psp-selinux-v2 created
   k8spspseccomp.constraints.gatekeeper.sh/psp-v2022-psp-seccomp created
   k8spspvolumetypes.constraints.gatekeeper.sh/psp-v2022-psp-volume-types created
   

3. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

   kubectl get -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/psp-v2022
   

   Outputnya mirip dengan hal berikut ini:

   NAME                                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/psp-v2022-psp-allow-privilege-escalation   dryrun               0
   
   NAME                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspallowedusers.constraints.gatekeeper.sh/psp-v2022-psp-pods-allowed-user-ranges   dryrun               0
   
   NAME                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspapparmor.constraints.gatekeeper.sh/psp-v2022-psp-apparmor                        0
   
   NAME                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspcapabilities.constraints.gatekeeper.sh/psp-v2022-psp-capabilities   dryrun               0
   
   NAME                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspfsgroup.constraints.gatekeeper.sh/psp-v2022-psp-fsgroup                        0
   
   NAME                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspflexvolumes.constraints.gatekeeper.sh/psp-v2022-psp-flexvolume-drivers                        0
   
   NAME                                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspforbiddensysctls.constraints.gatekeeper.sh/psp-v2022-psp-forbidden-sysctls                        0
   
   NAME                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostfilesystem.constraints.gatekeeper.sh/psp-v2022-psp-host-filesystem                        0
   
   NAME                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnamespace.constraints.gatekeeper.sh/psp-v2022-psp-host-namespace   dryrun               0
   
   NAME                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnetworkingports.constraints.gatekeeper.sh/psp-v2022-psp-host-network-ports   dryrun               0
   
   NAME                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/psp-v2022-psp-privileged-container   dryrun               0
   
   NAME                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprocmount.constraints.gatekeeper.sh/psp-v2022-psp-proc-mount                        0
   
   NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspreadonlyrootfilesystem.constraints.gatekeeper.sh/psp-v2022-psp-readonlyrootfilesystem                        0
   
   NAME                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspselinuxv2.constraints.gatekeeper.sh/psp-v2022-psp-selinux-v2                        0
   
   NAME                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspseccomp.constraints.gatekeeper.sh/psp-v2022-psp-seccomp   dryrun               0
   
   NAME                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspvolumetypes.constraints.gatekeeper.sh/psp-v2022-psp-volume-types                        0
   

4. (Opsional) Sesuaikan Nama Kolom PSP parameters di file batasan sebagaimana diperlukan untuk lingkungan cluster Anda. Untuk detail selengkapnya, periksa link untuk Nama Kolom PSP tertentu pada tabel di atas. Misalnya dalam psp-host-network-ports:

   parameters:
     hostNetwork: true
     min: 80
     max: 9000
   

{i>kpt<i}

1. Menginstal dan menyiapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

2. Download paket kebijakan Kebijakan Keamanan Pod (PSP) v2022 dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/psp-v2022
   

3. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

   kpt fn eval psp-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
     -- enforcementAction=dryrun
   

4. Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:

   cd psp-v2022
   kpt live init
   

5. (Opsional) Sesuaikan Nama Kolom PSP parameters di file batasan sebagaimana diperlukan untuk lingkungan cluster Anda. Untuk detail selengkapnya, periksa link untuk Nama Kolom PSP tertentu pada tabel di atas. Misalnya dalam psp-host-network-ports:

   parameters:
     hostNetwork: true
     min: 80
     max: 9000
   

6. Terapkan batasan kebijakan dengan kpt:

   kpt live apply
   

7. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

   kpt live status --output table --poll-until current
   

   Status CURRENT mengonfirmasi penginstalan batasan berhasil.

Config Sync

1. Menginstal dan menyiapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

   Catatan: Kpt v1.0.0-beta.17 dan yang lebih baru akan otomatis membuat file resourcegroup.yaml selama live init yang tidak boleh diperiksa ke dalam repo Config Sync Anda. Jika belum ada, tambahkan resourcegroup.yaml ke file .gitignore repo Anda.

   Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

2. Buat direktori policies khusus:

   mkdir -p policies
   

3. Download paket kebijakan Kebijakan Keamanan Pod (PSP) v2022 dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/psp-v2022 policies/psp-v2022
   

4. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

   kpt fn eval policies/psp-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

5. (Opsional) Sesuaikan Nama Kolom PSP parameters di file batasan sebagaimana diperlukan untuk lingkungan cluster Anda. Untuk detail selengkapnya, periksa link untuk Nama Kolom PSP tertentu pada tabel di atas. Misalnya dalam psp-host-network-ports:

   parameters:
     hostNetwork: true
     min: 80
     max: 9000
   

6. (Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

   kpt live init policies/psp-v2022
   kpt live apply --dry-run policies/psp-v2022
   

   Output-nya adalah sebagai berikut:

   Dry-run strategy: client
   inventory update started
   inventory update finished
   apply phase started
   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/psp-v2022-psp-allow-privilege-escalation apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spspallowedusers.constraints.gatekeeper.sh/psp-v2022-psp-pods-allowed-user-ranges apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spspapparmor.constraints.gatekeeper.sh/psp-v2022-psp-apparmor apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spspcapabilities.constraints.gatekeeper.sh/psp-v2022-psp-capabilities apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spspfsgroup.constraints.gatekeeper.sh/psp-v2022-psp-fsgroup apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spspflexvolumes.constraints.gatekeeper.sh/psp-v2022-psp-flexvolume-drivers apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spspforbiddensysctls.constraints.gatekeeper.sh/psp-v2022-psp-forbidden-sysctls apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spsphostfilesystem.constraints.gatekeeper.sh/psp-v2022-psp-host-filesystem apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spsphostnamespace.constraints.gatekeeper.sh/psp-v2022-psp-host-namespace apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spsphostnetworkingports.constraints.gatekeeper.sh/psp-v2022-psp-host-network-ports apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/psp-v2022-psp-privileged-container apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spspprocmount.constraints.gatekeeper.sh/psp-v2022-psp-proc-mount apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spspreadonlyrootfilesystem.constraints.gatekeeper.sh/psp-v2022-psp-readonlyrootfilesystem apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spspselinuxv2.constraints.gatekeeper.sh/psp-v2022-psp-selinux-v2 apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spspseccomp.constraints.gatekeeper.sh/psp-v2022-psp-seccomp apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   k8spspvolumetypes.constraints.gatekeeper.sh/psp-v2022-psp-volume-types apply skipped: inventory policy prevented actuation (strategy: Apply, status: Empty, policy: MustMatch)
   apply phase finished
   inventory update started
   inventory update finished
   apply result: 16 attempted, 0 successful, 16 skipped, 0 failed
   

7. Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Sesuaikan, tambahkan policies/psp-v2022 ke kustomization.yaml root Anda. Jika tidak, hapus file policies/psp-v2022/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/psp-v2022/kustomization.yaml
   

8. Kirim perubahan ke repo Config Sync:

   git add SYNC_ROOT_DIR/policies/psp-v2022
   git commit -m 'Adding Pod Security Policy audit enforcement'
   git push
   

9. Verifikasi status penginstalan:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Status SYNCED mengonfirmasi penginstalan kebijakan.

Lihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran pada cluster menggunakan perintah berikut:

kubectl get constraint -l policycontroller.gke.io/bundleName=psp-v2022 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Jika terdapat pelanggaran, listingan pesan pelanggaran per batasan dapat dilihat dengan:

kubectl get constraint -l policycontroller.gke.io/bundleName=psp-v2022 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Mengubah tindakan penerapan paket kebijakan Kebijakan Keamanan Pod

Setelah meninjau pelanggaran kebijakan pada cluster, Anda dapat mempertimbangkan untuk mengubah mode penerapan sehingga Pengontrol Penerimaan akan warn aktif atau bahkan deny memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.

Peringatan: Tindakan penerapan deny harus digunakan dengan hati-hati karena dapat berpotensi memblokir perubahan yang diperlukan, sehingga mengakibatkan gangguan pada beban kerja penting atau cluster. Sebaiknya hanya tindakan penerapan warn atau dryrun yang digunakan pada cluster dengan beban kerja produksi, saat menguji batasan baru, atau melakukan migrasi seperti mengupgrade platform. Untuk informasi selengkapnya tentang tindakan penegakan kebijakan, lihat Mengaudit menggunakan batasan.

kubectl

1. Gunakan kubectl untuk menetapkan tindakan penegakan kebijakan ke warn:

   kubectl get constraint -l policycontroller.gke.io/bundleName=psp-v2022 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Pastikan tindakan penerapan batasan kebijakan telah diperbarui:

   kubectl get constraint -l policycontroller.gke.io/bundleName=psp-v2022
   

{i>kpt<i}

1. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Terapkan batasan kebijakan:

   kpt live apply
   

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

2. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:

   kpt fn eval policies/psp-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Kirim perubahan ke repo Config Sync:

   git add SYNC_ROOT_DIR/policies/psp-v2022
   git commit -m 'Adding Pod Security Policy policy bundle warn enforcement'
   git push
   

4. Verifikasi status penginstalan:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repo Anda yang muncul di kolom SYNCED akan mengonfirmasi penginstalan kebijakan.

Menguji penegakan kebijakan

Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

Pengontrol penerimaan harus memberikan peringatan yang mencantumkan pelanggaran kebijakan yang dilanggar oleh resource ini, seperti yang ditunjukkan dalam contoh berikut:

Warning: [psp-v2022-psp-pods-allowed-user-ranges] Container wordpress is attempting to run without a required securityContext/fsGroup. Allowed fsGroup: {"ranges": [{"max": 200, "min": 100}], "rule": "MustRunAs"}
Warning: [psp-v2022-psp-pods-allowed-user-ranges] Container wordpress is attempting to run without a required securityContext/runAsGroup. Allowed runAsGroup: {"ranges": [{"max": 200, "min": 100}], "rule": "MustRunAs"}
Warning: [psp-v2022-psp-pods-allowed-user-ranges] Container wordpress is attempting to run without a required securityContext/runAsUser
Warning: [psp-v2022-psp-pods-allowed-user-ranges] Container wordpress is attempting to run without a required securityContext/supplementalGroups. Allowed supplementalGroups: {"ranges": [{"max": 200, "min": 100}], "rule": "MustRunAs"}
Warning: [psp-v2022-psp-allow-privilege-escalation] Privilege escalation container is not allowed: wordpress
Warning: [psp-v2022-psp-seccomp] Seccomp profile 'not configured' is not allowed for container 'wordpress'. Found at: no explicit profile found. Allowed profiles: {"RuntimeDefault", "docker/default", "runtime/default"}
Warning: [psp-v2022-psp-capabilities] container <wordpress> is not dropping all required capabilities. Container must drop all of ["must_drop"] or "ALL"
Warning: [psp-v2022-psp-readonlyrootfilesystem] only read-only root filesystem container is allowed: wordpress
pod/wp-non-compliant created

Menghapus paket kebijakan Keamanan Pod

Jika diperlukan, paket kebijakan Keamanan Pod dapat dihapus dari cluster.

kubectl

• Gunakan kubectl untuk menghapus kebijakan:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=psp-v2022
  

{i>kpt<i}

• Hapus kebijakan:

  kpt live destroy
  

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Kirim perubahan ke repo Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/psp-v2022
   git commit -m 'Removing PSP policies'
   git push
   

2. Verifikasi statusnya:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repo Anda yang muncul di kolom SYNCED mengonfirmasi penghapusan kebijakan.