Usa restricciones de la política de NIST SP 800-190
El controlador de políticas viene con una biblioteca predeterminada de plantillas de restricciones que se pueden usar con el paquete NIST SP 800-190, que implementa controles que se enumeran en la Publicación especial (SP) 800-190 del Instituto Nacional de Estándares y Tecnología (NIST), Guía de seguridad para contenedores de aplicaciones. El paquete está diseñado para ayudar a las organizaciones con la seguridad de los contenedores de aplicaciones, incluida la seguridad de imágenes, la seguridad del entorno de ejecución del contenedor, la seguridad de red y la seguridad del sistema host, por mencionar algunas.
Restricciones del paquete de políticas de NIST SP 800-190
Nombre de la restricción | Descripción de la restricción | ID de control |
---|---|---|
nist-sp-800-190-restrict-rbac-subjects | Restringe el uso de nombres en los sujetos de RBAC a los valores permitidos. | AC-2 Administración de cuentas |
nist-sp-800-190-restrict-rbac-subjects | Restringe el uso de nombres en los sujetos de RBAC a los valores permitidos. | Aplicación de políticas de acceso a AC-3 |
nist-sp-800-190-block-secrets-of-type-basic-auth | Restringe el uso de secretos de tipo de autenticación básica. | Aplicación del flujo de información AC-4 |
nist-sp-800-190-require-binauthz | Requiere el webhook de admisión de validación de autorización binaria. | |
nist-sp-800-190-require-namespace-network-policies | Requiere que cada espacio de nombres definido en el clúster tenga una NetworkPolicy. | |
nist-sp-800-190-restrict-hostpath-volumes | Restringe el uso de los volúmenes de HostPath. | |
nist-sp-800-190-require-binauthz | Requiere el webhook de admisión de validación de autorización binaria. | Privilegio mínimo AC-6 |
nist-sp-800-190-restrict-clusteradmin-rolebindings | Restringe el uso del rol “cluster-admin”. | |
nist-sp-800-190-restrict-repos | Restringe las imágenes de contenedor a una lista de “repositorios” permitidos. | |
nist-sp-800-190-restrict-role-wildcards | Restringe el uso de comodines en `Roles` y `ClusterRoles`. | |
nist-sp-800-190-nodes-have-consistent-time | Garantiza un tiempo coherente y correcto en los nodos, ya que permite solo Container-Optimized OS(COS) o Ubuntu como imagen de SO. | Marcas de tiempo de AU-8 |
nist-sp-800-190-require-namespace-network-policies | Requiere que cada espacio de nombres definido en el clúster tenga una NetworkPolicy. | Conexiones internas al sistema CA-9 |
nist-sp-800-190-enforce-config-management | Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvío esté habilitada con al menos un objeto “RootSync” en el clúster. | Configuración del modelo de referencia de CM-2 |
nist-sp-800-190-require-managed-by-label | Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida. | |
nist-sp-800-190-apparmor | Restringe los perfiles de AppArmor permitidos para los Pods. | Control de cambios de la configuración de CM-3 |
nist-sp-800-190-block-secrets-of-type-basic-auth | Restringe el uso de secretos de tipo de autenticación básica. | |
nist-sp-800-190-capabilities | Restringe las capacidades adicionales permitidas para los Pods. | |
nist-sp-800-190-enforce-config-management | Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvío esté habilitada con al menos un objeto “RootSync” en el clúster. | |
nist-sp-800-190-host-namespaces | Restringe los contenedores con “hostPID” o “hostIPC” configurado como “true”. | |
nist-sp-800-190-host-network | Impide que los contenedores se ejecuten con la marca “hostNetwork” configurada como “true”. | |
nist-sp-800-190-privileged-containers | Restringe los contenedores con `securityContext.privileged` configurado como `true`. | |
nist-sp-800-190-proc-mount-type | Requiere las máscaras “/proc” predeterminadas para los Pods | |
nist-sp-800-190-require-managed-by-label | Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida. | |
nist-sp-800-190-restrict-hostpath-volumes | Restringe el uso de los volúmenes de HostPath. | |
nist-sp-800-190-restrict-volume-types | Restringe los tipos de volúmenes activables a la lista permitida. | |
nist-sp-800-190-seccomp | El perfil de Seccomp no debe estar configurado explícitamente como "Unconfined". | |
nist-sp-800-190-selinux | Restringe la configuración de SELinux para los Pods. | |
nist-sp-800-190-sysctls | Restringe los Sysctls permitidos para los Pods. | |
nist-sp-800-190-enforce-config-management | Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvío esté habilitada con al menos un objeto “RootSync” en el clúster. | Análisis del impacto de la seguridad de CM-4 |
nist-sp-800-190-require-managed-by-label | Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida. | |
nist-sp-800-190-restrict-clusteradmin-rolebindings | Restringe el uso del rol “cluster-admin”. | |
nist-sp-800-190-enforce-config-management | Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvío esté habilitada con al menos un objeto “RootSync” en el clúster. | Restricciones de acceso de CM-5 para cambios |
nist-sp-800-190-require-managed-by-label | Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida. | |
nist-sp-800-190-restrict-clusteradmin-rolebindings | Restringe el uso del rol “cluster-admin”. | |
nist-sp-800-190-block-secrets-of-type-basic-auth | Restringe el uso de secretos de tipo de autenticación básica. | Configuración de CM-6 |
nist-sp-800-190-enforce-config-management | Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvío esté habilitada con al menos un objeto “RootSync” en el clúster. | |
nist-sp-800-190-require-binauthz | Requiere el webhook de admisión de validación de autorización binaria. | |
nist-sp-800-190-require-managed-by-label | Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida. | |
nist-sp-800-190-restrict-hostpath-volumes | Restringe el uso de los volúmenes de HostPath. | |
nist-sp-800-190-restrict-volume-types | Restringe los tipos de volúmenes activables a la lista permitida. | |
nist-sp-800-190-apparmor | Restringe los perfiles de AppArmor permitidos para los Pods. | Funcionalidad mínima de CM-7 |
nist-sp-800-190-capabilities | Restringe las capacidades adicionales permitidas para los Pods. | |
nist-sp-800-190-host-namespaces | Restringe los contenedores con “hostPID” o “hostIPC” configurado como “true”. | |
nist-sp-800-190-host-network | Impide que los contenedores se ejecuten con la marca “hostNetwork” configurada como “true”. | |
nist-sp-800-190-privileged-containers | Restringe los contenedores con `securityContext.privileged` configurado como `true`. | |
nist-sp-800-190-proc-mount-type | Requiere las máscaras “/proc” predeterminadas para los Pods | |
nist-sp-800-190-restrict-clusteradmin-rolebindings | Restringe el uso del rol “cluster-admin”. | |
nist-sp-800-190-restrict-hostpath-volumes | Restringe el uso de los volúmenes de HostPath. | |
nist-sp-800-190-restrict-volume-types | Restringe los tipos de volúmenes activables a la lista permitida. | |
nist-sp-800-190-seccomp | El perfil de Seccomp no debe estar configurado explícitamente como "Unconfined". | |
nist-sp-800-190-selinux | Restringe la configuración de SELinux para los Pods. | |
nist-sp-800-190-sysctls | Restringe los Sysctls permitidos para los Pods. | |
nist-sp-800-190-enforce-config-management | Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvío esté habilitada con al menos un objeto “RootSync” en el clúster. | Copia de seguridad del sistema CP-9 |
nist-sp-800-190-require-managed-by-label | Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida. | |
nist-sp-800-190-enforce-config-management | Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvío esté habilitada con al menos un objeto “RootSync” en el clúster. | CP-10: Recuperación y reconstitución de los sistemas de información |
nist-sp-800-190-require-managed-by-label | Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida. | |
nist-sp-800-190-restrict-rbac-subjects | Restringe el uso de nombres en los sujetos de RBAC a los valores permitidos. | IA-2 Identificación y autenticación (usuarios de la organización) |
nist-sp-800-190-block-creation-with-default-serviceaccount | Restringir la creación de recursos con una cuenta de servicio predeterminada | Administración de identificadores IA-4 |
nist-sp-800-190-restrict-rbac-subjects | Restringe el uso de nombres en los sujetos de RBAC a los valores permitidos. | |
nist-sp-800-190-require-binauthz | Requiere el webhook de admisión de validación de autorización binaria. | Administración del Autenticador IA-5 |
nist-sp-800-190-restrict-rbac-subjects | Restringe el uso de nombres en los sujetos de RBAC a los valores permitidos. | |
nist-sp-800-190-restrict-rbac-subjects | Restringe el uso de nombres en los sujetos de RBAC a los valores permitidos. | MA-4 Mantenimiento no local |
nist-sp-800-190-enforce-config-management | Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvío esté habilitada con al menos un objeto “RootSync” en el clúster. | Administración de configuraciones para desarrolladores de SA-10 |
nist-sp-800-190-require-managed-by-label | Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida. | |
nist-sp-800-190-require-namespace-network-policies | Requiere que cada espacio de nombres definido en el clúster tenga una NetworkPolicy. | Información de SC-4 en recursos compartidos |
nist-sp-800-190-cpu-and-memory-limits-required | Requiere que los Pods especifiquen límites de CPU y memoria. | Disponibilidad de recursos de SC-6 |
nist-sp-800-190-asm-peer-authn-strict-mtls | Garantiza que las PeerAuthentications no puedan reemplazar la mTLS estricta. | Integridad y confidencialidad de las transmisiones de SC-8 |
nist-sp-800-190-block-secrets-of-type-basic-auth | Restringe el uso de secretos de tipo de autenticación básica. | Integridad de la información, software y firmware SI-7 |
nist-sp-800-190-enforce-config-management | Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvío esté habilitada con al menos un objeto “RootSync” en el clúster. | |
nist-sp-800-190-require-binauthz | Requiere el webhook de admisión de validación de autorización binaria. | |
nist-sp-800-190-require-managed-by-label | Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida. | |
nist-sp-800-190-restrict-hostpath-volumes | Restringe el uso de los volúmenes de HostPath. |
Antes de comenzar
- Instala y también inicializa Google Cloud CLI, que proporciona los comandos
gcloud
ykubectl
que se usan en estas instrucciones. Si usas Cloud Shell, Google Cloud CLI viene preinstalado. - Instala el controlador de políticas v1.15.2 o una versión posterior en tu clúster con la biblioteca predeterminada de plantillas de restricciones. También debes habilitar la compatibilidad con restricciones referenciales, ya que este paquete contiene restricciones referenciales.
Configura el controlador de políticas para restricciones referenciales
Guarda el siguiente manifiesto YAML en un archivo como
policycontroller-config.yaml
. El manifiesto configura Policy Controller para observar tipos específicos de objetos.apiVersion: config.gatekeeper.sh/v1alpha1 kind: Config metadata: name: config namespace: "gatekeeper-system" spec: sync: syncOnly: - group: "networking.k8s.io" version: "v1" kind: "NetworkPolicy" - group: "configsync.gke.io" version: "v1beta1" kind: "RootSync" - group: "admissionregistration.k8s.io" version: "v1" kind: "ValidatingWebhookConfiguration"
Aplica el manifiesto
policycontroller-config.yaml
:kubectl apply -f policycontroller-config.yaml
Configura el clúster y la carga de trabajo
- Se requiere la habilitación y la configuración del Sincronizador de configuración
, incluido el webhook de admisión de prevención de derivaciones, en
nist-sp-800-190-enforce-config-management
. - Las imágenes de contenedor se limitan a una lista de repositorios permitidos, que se puede personalizar si es necesario en
nist-sp-800-190-restrict-repos
. - Los nodos deben usar Container-Optimized OS o Ubuntu para su imagen en
nist-sp-800-190-nodes-have-consistent-time
. Se requiere la habilitación y configuración de la autorización binaria en
nist-sp-800-190-require-binauthz
.
Audita el paquete de políticas de NIST SP 800-190
El Controlador de políticas te permite aplicar políticas a tu clúster de Kubernetes. Para probar tus cargas de trabajo y su cumplimiento con respecto a las políticas de NIST descritas en la tabla anterior, puedes implementar estas restricciones en modo de auditoría para revelar incumplimientos y, lo que es más importante, darte la oportunidad de corregirlos antes de aplicarlas en tu clúster de Kubernetes.
Puedes aplicar estas políticas con spec.enforcementAction
configurado como dryrun
mediante
kubectl,
kpt
o
el Sincronizador de configuración
.
kubectl
(Opcional) Obtén una vista previa de las restricciones de la política con kubectl:
kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-190
Aplica las restricciones de la política con kubectl:
kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-190
Esta es la salida:
asmpeerauthnstrictmtls.constraints.gatekeeper.sh/nist-sp-800-190-asm-peer-authn-strict-mtls created k8sallowedrepos.constraints.gatekeeper.sh/nist-sp-800-190-restrict-repos created k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/nist-sp-800-190-block-creation-with-default-serviceaccount created k8sblockobjectsoftype.constraints.gatekeeper.sh/nist-sp-800-190-block-secrets-of-type-basic-auth created k8senforceconfigmanagement.constraints.gatekeeper.sh/nist-sp-800-190-enforce-config-management created k8spspapparmor.constraints.gatekeeper.sh/nist-sp-800-190-apparmor created k8spspcapabilities.constraints.gatekeeper.sh/nist-sp-800-190-capabilities created k8spspforbiddensysctls.constraints.gatekeeper.sh/nist-sp-800-190-sysctls created k8spsphostfilesystem.constraints.gatekeeper.sh/nist-sp-800-190-restrict-hostpath-volumes created k8spsphostnamespace.constraints.gatekeeper.sh/nist-sp-800-190-host-namespaces created k8spsphostnetworkingports.constraints.gatekeeper.sh/nist-sp-800-190-host-network created k8spspprivilegedcontainer.constraints.gatekeeper.sh/nist-sp-800-190-privileged-containers created k8spspprocmount.constraints.gatekeeper.sh/nist-sp-800-190-proc-mount-type created k8spspselinuxv2.constraints.gatekeeper.sh/nist-sp-800-190-selinux created k8spspseccomp.constraints.gatekeeper.sh/nist-sp-800-190-seccomp created k8spspvolumetypes.constraints.gatekeeper.sh/nist-sp-800-190-restrict-volume-types created k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/nist-sp-800-190-restrict-role-wildcards created k8srequirebinauthz.constraints.gatekeeper.sh/nist-sp-800-190-require-binauthz created k8srequirecosnodeimage.constraints.gatekeeper.sh/nist-sp-800-190-nodes-have-consistent-time created k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nist-sp-800-190-require-namespace-network-policies created k8srequiredlabels.constraints.gatekeeper.sh/nist-sp-800-190-require-managed-by-label created k8srequiredresources.constraints.gatekeeper.sh/nist-sp-800-190-cpu-and-memory-limits-required created k8srestrictrbacsubjects.constraints.gatekeeper.sh/nist-sp-800-190-restrict-rbac-subjects created k8srestrictrolebindings.constraints.gatekeeper.sh/nist-sp-800-190-restrict-clusteradmin-rolebindings created
Verifica que se hayan instalado las restricciones de políticas y verifica si las infracciones existen en el clúster:
kubectl get constraints -l policycontroller.gke.io/bundleName=nist-sp-800-190
El resultado es similar al siguiente:
NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspapparmor.constraints.gatekeeper.sh/nist-sp-800-190-apparmor dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirebinauthz.constraints.gatekeeper.sh/nist-sp-800-190-require-binauthz dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrbacsubjects.constraints.gatekeeper.sh/nist-sp-800-190-restrict-rbac-subjects dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspforbiddensysctls.constraints.gatekeeper.sh/nist-sp-800-190-sysctls dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspvolumetypes.constraints.gatekeeper.sh/nist-sp-800-190-restrict-volume-types dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnetworkingports.constraints.gatekeeper.sh/nist-sp-800-190-host-network dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnamespace.constraints.gatekeeper.sh/nist-sp-800-190-host-namespaces dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/nist-sp-800-190-restrict-role-wildcards dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/nist-sp-800-190-block-creation-with-default-serviceaccount dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostfilesystem.constraints.gatekeeper.sh/nist-sp-800-190-restrict-hostpath-volumes dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspseccomp.constraints.gatekeeper.sh/nist-sp-800-190-seccomp dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS asmpeerauthnstrictmtls.constraints.gatekeeper.sh/nist-sp-800-190-asm-peer-authn-strict-mtls dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredresources.constraints.gatekeeper.sh/nist-sp-800-190-cpu-and-memory-limits-required dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspprocmount.constraints.gatekeeper.sh/nist-sp-800-190-proc-mount-type dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockobjectsoftype.constraints.gatekeeper.sh/nist-sp-800-190-block-secrets-of-type-basic-auth dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nist-sp-800-190-require-namespace-network-policies dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspcapabilities.constraints.gatekeeper.sh/nist-sp-800-190-capabilities dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredlabels.constraints.gatekeeper.sh/nist-sp-800-190-require-managed-by-label dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspprivilegedcontainer.constraints.gatekeeper.sh/nist-sp-800-190-privileged-containers dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sallowedrepos.constraints.gatekeeper.sh/nist-sp-800-190-restrict-repos dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspselinuxv2.constraints.gatekeeper.sh/nist-sp-800-190-selinux dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8senforceconfigmanagement.constraints.gatekeeper.sh/nist-sp-800-190-enforce-config-management dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrolebindings.constraints.gatekeeper.sh/nist-sp-800-190-restrict-clusteradmin-rolebindings dryrun 0
kpt
Instala y configura kpt.
kpt se usa en estas instrucciones para implementar y personalizar recursos de Kubernetes.
Descarga el paquete de políticas de NIST SP 800-190 desde GitHub con kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-190
Ejecuta la función kpt
set-enforcement-action
para establecer la acción de aplicación de las políticas endryrun
:kpt fn eval nist-sp-800-190 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \ -- enforcementAction=dryrun
Inicializa el directorio de trabajo con kpt, que crea un recurso para realizar un seguimiento de los cambios:
cd nist-sp-800-190 kpt live init
Aplica las restricciones de políticas con kpt:
kpt live apply
Verifica que se hayan instalado las restricciones de políticas y verifica si las infracciones existen en el clúster:
kpt live status --output table --poll-until current
Un estado de
CURRENT
confirma la instalación correcta de las restricciones.
Sincronizador de configuración
Instala y configura kpt.
kpt se usa en estas instrucciones para implementar y personalizar recursos de Kubernetes.
Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:
Cambia al directorio del Sincronizador de configuración:
cd SYNC_ROOT_DIR
Para crear o agregar
.gitignore
conresourcegroup.yaml
, haz lo siguiente:echo resourcegroup.yaml >> .gitignore
Crea un directorio
policies
dedicado:mkdir -p policies
Descarga el paquete de políticas de NIST SP 800-190 desde GitHub con kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-190 policies/nist-sp-800-190
Ejecuta la función kpt
set-enforcement-action
para establecer la acción de aplicación de las políticas endryrun
:kpt fn eval policies/nist-sp-800-190 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
(Opcional) Obtén una vista previa de las restricciones de la política que se crearán:
kpt live init policies/nist-sp-800-190 kpt live apply --dry-run policies/nist-sp-800-190
Si tu directorio de sincronización para el Sincronizador de configuración usa Kustomize, agrega
policies/nist-sp-800-190
a tukustomization.yaml
raíz. De lo contrario, quita el archivopolicies/nist-sp-800-190/kustomization.yaml
:rm SYNC_ROOT_DIR/policies/nist-sp-800-190/kustomization.yaml
Envía los cambios al repositorio del Sincronizador de configuración:
git add SYNC_ROOT_DIR/policies/nist-sp-800-190 git commit -m 'Adding NIST SP 800-190 policy audit enforcement' git push
Verifica el estado de la instalación:
watch gcloud beta container fleet config-management status --project PROJECT_ID
Un estado de
SYNCED
confirma la instalación de las políticas.
Visualiza incumplimientos de políticas
Una vez que las restricciones de la política se instalan en el modo de auditoría, los incumplimientos del clúster se pueden ver en la IU mediante el Panel del controlador de políticas.
También puedes usar
kubectl
para ver los incumplimientos en el clúster mediante el siguiente comando:kubectl get constraint -l policycontroller.gke.io/bundleName=nist-sp-800-190 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
Si hay incumplimientos, se puede ver una lista de los mensajes de incumplimiento por restricción con lo siguiente:
kubectl get constraint -l policycontroller.gke.io/bundleName=nist-sp-800-190 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
Cambiar la acción de aplicación del paquete de políticas de NIST SP 800-190
Una vez que hayas revisado los incumplimientos de políticas en tu clúster, puedes
cambiar el modo de aplicación para que el controlador de admisión warn
en
o incluso deny
bloquee la aplicación del recurso que no cumple con las políticas en el clúster.
kubectl
Usa kubectl para establecer la acción de aplicación de las políticas en
deny
:kubectl get constraints -l policycontroller.gke.io/bundleName=nist-sp-800-190 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
Verifica que se haya actualizado la acción de aplicación de restricciones de la política:
kubectl get constraints -l policycontroller.gke.io/bundleName=nist-sp-800-190
kpt
Ejecuta la función kpt
set-enforcement-action
para establecer la acción de aplicación de las políticas endeny
:kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=deny
Aplica las restricciones de la política:
kpt live apply
Sincronizador de configuración
Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:
Cambia al directorio del Sincronizador de configuración:
cd SYNC_ROOT_DIR
Ejecuta la función kpt
set-enforcement-action
para establecer la acción de aplicación de las políticas endeny
:kpt fn eval policies/nist-sp-800-190 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=deny
Envía los cambios al repositorio del Sincronizador de configuración:
git add SYNC_ROOT_DIR/policies/nist-sp-800-190 git commit -m 'Adding NIST SP 800-190 policy warn enforcement' git push
Verifica el estado de la instalación:
gcloud alpha anthos config sync repo list --project PROJECT_ID
El repositorio que aparece en la columna
SYNCED
confirma la instalación de las políticas.
Aplicación de la política de prueba
Crea un recurso que no cumpla con las políticas en el clúster con el siguiente comando:
cat <<EOF | kubectl apply -f - apiVersion: v1 kind: Pod metadata: name: wp-non-compliant spec: containers: ‐ image: wordpress name: wordpress EOF
El controlador de admisión debe producir una advertencia en la que se enumeren los incumplimientos de política que infringe este recurso, como se muestra en el siguiente ejemplo:
Warning: [nist-sp-800-190-cpu-and-memory-limits-required] container <wordpress> does not have <{"cpu", "memory"}> limits defined Warning: [nist-sp-800-190-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"] pod/wp-non-compliant created
Se quitó el paquete de políticas de NIST SP 800-190
Si es necesario, se puede quitar el paquete de políticas NIST SP 800-190 del clúster.
kubectl
Usa kubectl para quitar las políticas:
kubectl delete constraint -l policycontroller.gke.io/bundleName=nist-sp-800-190
kpt
Quita las políticas:
kpt live destroy
Sincronizador de configuración
Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:
Envía los cambios al repositorio del Sincronizador de configuración:
git rm -r SYNC_ROOT_DIR/policies/nist-sp-800-190 git commit -m 'Removing NIST SP 800-190 policies' git push
Verifica el estado:
gcloud alpha anthos config sync repo list --project PROJECT_ID
El repositorio que aparece en la columna
SYNCED
confirma la eliminación de las políticas.