Usa las restricciones de las políticas de NIST SP 800-53 Rev. 5

El controlador de políticas viene con una biblioteca predeterminada de plantillas de restricciones que se pueden usar con el paquete NIST SP 800-53 Rev. 5, que implementa los controles que se indican en la Publicación especial (SP) 800-53 Rev. 5 del Instituto Nacional de Normas y Tecnología (NIST). El paquete puede ayudar a las organizaciones a proteger sus sistemas y datos de una variedad de amenazas mediante la implementación de políticas de seguridad y privacidad listas para usar.

Restricciones del paquete de políticas de NIST SP 800-53 Rev. 5

Nombre de la restricción	Descripción de la restricción	ID de control
nist-sp-800-53-r5-block-secrets-of-type-basic-auth	Restringe el uso de Secrets de tipo de autenticación básica.	AC-16 Atributos de seguridad y privacidad
nist-sp-800-53-r5-restrict-hostpath-volumes	Restringe el uso de volúmenes de HostPath.
nist-sp-800-53-r5-restrict-rbac-subjects	Restringe el uso de nombres en sujetos de RBAC a los valores permitidos.	AC-2 Administración de cuentas
nist-sp-800-53-r5-restrict-rbac-subjects	Restringe el uso de nombres en sujetos de RBAC a los valores permitidos.	Aplicación forzosa de acceso de AC-3
nist-sp-800-53-r5-block-secrets-of-type-basic-auth	Restringe el uso de Secrets de tipo de autenticación básica.	Aplicación del flujo de información de AC-4
nist-sp-800-53-r5-require-binauthz	Requiere el webhook de admisión de validación de autorización binaria.
nist-sp-800-53-r5-require-namespace-network-policies	Requiere que cada espacio de nombres definido en el clúster tenga una NetworkPolicy.
nist-sp-800-53-r5-restrict-hostpath-volumes	Restringe el uso de volúmenes de HostPath.
nist-sp-800-53-r5-require-binauthz	Requiere el webhook de admisión de validación de autorización binaria.	Privilegio mínimo AC-6
nist-sp-800-53-r5-restrict-clusteradmin-rolebindings	Restringe el uso del rol “cluster-admin”.
nist-sp-800-53-r5-restrict-repos	Restringe las imágenes de contenedor a una lista de “repositorios” permitidos.
nist-sp-800-53-r5-restrict-role-wildcards	Restringe el uso de comodines en `Roles` y `ClusterRoles`.
nist-sp-800-53-r5-require-binauthz	Requiere el webhook de admisión de validación de autorización binaria.	AU-10: No rechazo
nist-sp-800-53-r5-nodes-have-consistent-time	Garantiza la coherencia y la hora correcta en los nodos permitiendo solo Container-Optimized OS (COS) o Ubuntu como imagen de SO.	Marcas de tiempo de AU-8
nist-sp-800-53-r5-require-namespace-network-policies	Requiere que cada espacio de nombres definido en el clúster tenga una NetworkPolicy.	Conexiones internas del sistema CA-9
nist-sp-800-53-r5-require-binauthz	Requiere el webhook de admisión de validación de autorización binaria.	Componentes firmados de CM-14
nist-sp-800-53-r5-enforce-config-management	Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvíos esté habilitada con al menos un objeto “RootSync” en el clúster.	Configuración de referencia de CM-2
nist-sp-800-53-r5-require-managed-by-label	Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida.
nist-sp-800-53-r5-apparmor	Restringe los perfiles de AppArmor permitidos para los Pods.	Control de cambios de configuración de CM-3
nist-sp-800-53-r5-block-secrets-of-type-basic-auth	Restringe el uso de Secrets de tipo de autenticación básica.
nist-sp-800-53-r5-capabilities	Restringe las capacidades adicionales permitidas para los Pods.
nist-sp-800-53-r5-enforce-config-management	Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvíos esté habilitada con al menos un objeto “RootSync” en el clúster.
nist-sp-800-53-r5-host-namespaces	Restringe los contenedores con `hostPID` o `hostIPC` configurado como `true`.
nist-sp-800-53-r5-host-network	Restringe la ejecución de los contenedores con la marca “hostNetwork” establecida como “true”.
nist-sp-800-53-r5-privileged-containers	Restringe los contenedores con `securityContext.privileged` configurado como `true`.
nist-sp-800-53-r5-proc-mount-type	Requiere las máscaras “/proc” predeterminadas para los Pods.
nist-sp-800-53-r5-require-managed-by-label	Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida.
nist-sp-800-53-r5-restrict-hostpath-volumes	Restringe el uso de volúmenes de HostPath.
nist-sp-800-53-r5-restrict-volume-types	Restringe los tipos de volúmenes activables a la lista permitida.
nist-sp-800-53-r5-seccomp	El perfil de Seccomp no debe configurarse explícitamente como "Unconfined".
nist-sp-800-53-r5-selinux	Restringe la configuración de SELinux para los Pods.
nist-sp-800-53-r5-sysctls	Restringe los Sysctls permitidos para los Pods.
nist-sp-800-53-r5-enforce-config-management	Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvíos esté habilitada con al menos un objeto “RootSync” en el clúster.	Análisis del impacto de la seguridad de CM-4
nist-sp-800-53-r5-require-managed-by-label	Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida.
nist-sp-800-53-r5-restrict-clusteradmin-rolebindings	Restringe el uso del rol “cluster-admin”.
nist-sp-800-53-r5-enforce-config-management	Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvíos esté habilitada con al menos un objeto “RootSync” en el clúster.	Restricciones de acceso a CM-5 para cambios
nist-sp-800-53-r5-require-managed-by-label	Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida.
nist-sp-800-53-r5-restrict-clusteradmin-rolebindings	Restringe el uso del rol “cluster-admin”.
nist-sp-800-53-r5-block-secrets-of-type-basic-auth	Restringe el uso de Secrets de tipo de autenticación básica.	Configuración de CM-6
nist-sp-800-53-r5-enforce-config-management	Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvíos esté habilitada con al menos un objeto “RootSync” en el clúster.
nist-sp-800-53-r5-require-binauthz	Requiere el webhook de admisión de validación de autorización binaria.
nist-sp-800-53-r5-require-managed-by-label	Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida.
nist-sp-800-53-r5-restrict-hostpath-volumes	Restringe el uso de volúmenes de HostPath.
nist-sp-800-53-r5-restrict-volume-types	Restringe los tipos de volúmenes activables a la lista permitida.
nist-sp-800-53-r5-apparmor	Restringe los perfiles de AppArmor permitidos para los Pods.	Funcionalidad más baja de CM-7
nist-sp-800-53-r5-capabilities	Restringe las capacidades adicionales permitidas para los Pods.
nist-sp-800-53-r5-host-namespaces	Restringe los contenedores con `hostPID` o `hostIPC` configurado como `true`.
nist-sp-800-53-r5-host-network	Restringe la ejecución de los contenedores con la marca “hostNetwork” establecida como “true”.
nist-sp-800-53-r5-privileged-containers	Restringe los contenedores con `securityContext.privileged` configurado como `true`.
nist-sp-800-53-r5-proc-mount-type	Requiere las máscaras “/proc” predeterminadas para los Pods.
nist-sp-800-53-r5-restrict-clusteradmin-rolebindings	Restringe el uso del rol “cluster-admin”.
nist-sp-800-53-r5-restrict-hostpath-volumes	Restringe el uso de volúmenes de HostPath.
nist-sp-800-53-r5-restrict-volume-types	Restringe los tipos de volúmenes activables a la lista permitida.
nist-sp-800-53-r5-seccomp	El perfil de Seccomp no debe configurarse explícitamente como "Unconfined".
nist-sp-800-53-r5-selinux	Restringe la configuración de SELinux para los Pods.
nist-sp-800-53-r5-sysctls	Restringe los Sysctls permitidos para los Pods.
nist-sp-800-53-r5-enforce-config-management	Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvíos esté habilitada con al menos un objeto “RootSync” en el clúster.	CP-10 Recuperación y reconstrucción de sistemas de información
nist-sp-800-53-r5-require-managed-by-label	Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida.
nist-sp-800-53-r5-enforce-config-management	Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvíos esté habilitada con al menos un objeto “RootSync” en el clúster.	Copia de seguridad del sistema CP-9
nist-sp-800-53-r5-require-managed-by-label	Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida.
nist-sp-800-53-r5-restrict-rbac-subjects	Restringe el uso de nombres en sujetos de RBAC a los valores permitidos.	IA-2 Identificación y autenticación (usuarios de la organización)
nist-sp-800-53-r5-block-creation-with-default-serviceaccount	Restringe la creación de recursos con una cuenta de servicio predeterminada.	Administración de identificadores IA-4
nist-sp-800-53-r5-restrict-rbac-subjects	Restringe el uso de nombres en sujetos de RBAC a los valores permitidos.
nist-sp-800-53-r5-require-binauthz	Requiere el webhook de admisión de validación de autorización binaria.	Administración del Autenticador IA-5
nist-sp-800-53-r5-restrict-rbac-subjects	Restringe el uso de nombres en sujetos de RBAC a los valores permitidos.
nist-sp-800-53-r5-restrict-rbac-subjects	Restringe el uso de nombres en sujetos de RBAC a los valores permitidos.	MA-4 Mantenimiento no local
nist-sp-800-53-r5-enforce-config-management	Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvíos esté habilitada con al menos un objeto “RootSync” en el clúster.	Política y procedimientos de PL-1
nist-sp-800-53-r5-require-managed-by-label	Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida.
nist-sp-800-53-r5-require-binauthz	Requiere el webhook de admisión de validación de autorización binaria.	Análisis de vulnerabilidades RA-5
nist-sp-800-53-r5-enforce-config-management	Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvíos esté habilitada con al menos un objeto “RootSync” en el clúster.	Administración de configuraciones para desarrolladores de SA-10
nist-sp-800-53-r5-require-managed-by-label	Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida.
nist-sp-800-53-r5-require-binauthz	Requiere el webhook de admisión de validación de autorización binaria.	Ruta de confianza de SA-11
nist-sp-800-53-r5-require-binauthz	Requiere el webhook de admisión de validación de autorización binaria.	Ciclo de vida del desarrollo del sistema de SA-3
nist-sp-800-53-r5-block-secrets-of-type-basic-auth	Restringe el uso de Secrets de tipo de autenticación básica.	Principios de Ingeniería de Seguridad y Privacidad de SA-8
nist-sp-800-53-r5-restrict-hostpath-volumes	Restringe el uso de volúmenes de HostPath.
nist-sp-800-53-r5-restrict-volume-types	Restringe los tipos de volúmenes activables a la lista permitida.
nist-sp-800-53-r5-require-binauthz	Requiere el webhook de admisión de validación de autorización binaria.	Establecimiento y administración de claves criptográficas SC-12
nist-sp-800-53-r5-restrict-storageclass	Restringe `StorageClass` a una lista de `StorageClass` que encripta de forma predeterminada.	SC-28 Protección de la información en reposo
nist-sp-800-53-r5-require-namespace-network-policies	Requiere que cada espacio de nombres definido en el clúster tenga una NetworkPolicy.	Información de SC-4 en recursos compartidos
nist-sp-800-53-r5-cpu-and-memory-limits-required	Requiere que los Pods especifiquen límites de CPU y memoria.	Disponibilidad de recursos de SC-6
nist-sp-800-53-r5-block-secrets-of-type-basic-auth	Restringe el uso de Secrets de tipo de autenticación básica.	Protección de límites de SC-7
nist-sp-800-53-r5-enforce-config-management	Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvíos esté habilitada con al menos un objeto “RootSync” en el clúster.
nist-sp-800-53-r5-require-managed-by-label	Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida.
nist-sp-800-53-r5-require-namespace-network-policies	Requiere que cada espacio de nombres definido en el clúster tenga una NetworkPolicy.
nist-sp-800-53-r5-restrict-hostpath-volumes	Restringe el uso de volúmenes de HostPath.
nist-sp-800-53-r5-restrict-volume-types	Restringe los tipos de volúmenes activables a la lista permitida.
nist-sp-800-53-r5-asm-peer-authn-strict-mtls	Garantiza que PeerAuthentications no pueda reemplazar la mTLS estricta.	Integridad y confidencialidad de las transmisiones de SC-8
nist-sp-800-53-r5-require-binauthz	Requiere el webhook de admisión de validación de autorización binaria.	SI-12: Administración y retención de información
nist-sp-800-53-r5-restrict-storageclass	Restringe `StorageClass` a una lista de `StorageClass` que encripta de forma predeterminada.
nist-sp-800-53-r5-require-av-daemonset	Requiere la presencia de un daemonset de antivirus.	Protección de código malicioso SI-3
nist-sp-800-53-r5-block-secrets-of-type-basic-auth	Restringe el uso de Secrets de tipo de autenticación básica.	Integridad de la información, firmware y software de SI-7
nist-sp-800-53-r5-enforce-config-management	Requiere que el Sincronizador de configuración esté en ejecución y que la prevención de desvíos esté habilitada con al menos un objeto “RootSync” en el clúster.
nist-sp-800-53-r5-require-binauthz	Requiere el webhook de admisión de validación de autorización binaria.
nist-sp-800-53-r5-require-managed-by-label	Requiere que todas las apps tengan una etiqueta “app.kubernetes.io/managed-by” válida.
nist-sp-800-53-r5-restrict-hostpath-volumes	Restringe el uso de volúmenes de HostPath.
nist-sp-800-53-r5-require-binauthz	Requiere el webhook de admisión de validación de autorización binaria.	Procedencia del SR-4

Antes de comenzar

Nota: Si probaste el paquete de políticas de versión preliminar NIST 800 r5, quita esa versión antes de instalar este paquete. Por ejemplo, kubectl delete constraints -l policycontroller.gke.io/bundleName=nist-800-r5

1. Instala e inicializa Google Cloud CLI, que proporciona los comandos gcloud y kubectl que se usan en estas instrucciones. Si usas Cloud Shell, Google Cloud CLI viene preinstalado.
2. Instala el controlador de políticas en tu clúster con la biblioteca predeterminada de plantillas de restricción. También debes habilitar la compatibilidad con las restricciones referenciales, ya que este paquete contiene restricciones referenciales.

Configura el controlador de políticas para restricciones referenciales

Advertencia: Puedes reemplazar los cambios. Si ya tienes un Config existente en el espacio de nombres gatekeeper-system, debes incluir toda la configuración de personalización anterior para conservar los cambios.

1. Guarda el siguiente manifiesto YAML en un archivo como policycontroller-config.yaml. El manifiesto configura Policy Controller para observar tipos específicos de objetos.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: "apps"
           version: "v1"
           kind: "DaemonSet"
         - group: "networking.k8s.io"
           version: "v1"
           kind: "NetworkPolicy"
         - group: "configsync.gke.io"
           version: "v1beta1"
           kind: "RootSync"
         - group: "storage.k8s.io"
           version: "v1"
           kind: "StorageClass"
         - group: "admissionregistration.k8s.io"
           version: "v1"
           kind: "ValidatingWebhookConfiguration"
   

2. Aplica el manifiesto policycontroller-config.yaml:

   kubectl apply -f policycontroller-config.yaml
   

Configura el clúster y la carga de trabajo

1. Se requiere la habilitación y configuración del Sincronizador de configuración , incluido el webhook de admisión de Drift Prevention, en nist-sp-800-53-r5-enforce-config-management.
2. Se requiere una solución antivirus. El valor predeterminado es la presencia de un daemonset llamado clamav en el namespace de clamav; sin embargo, el nombre y el espacio de nombres de daemonset se pueden personalizar para tu implementación en la restricción nist-sp-800-53-r5-require-av-daemonset.
3. Las imágenes de contenedor se limitan a una lista de repositorios permitida, que se puede personalizar si es necesario en nist-sp-800-53-r5-restrict-repos.
4. Los nodos deben usar Container-Optimized OS o Ubuntu para su imagen en nist-sp-800-53-r5-nodes-have-consistent-time.
5. El uso de clases de almacenamiento se limita a una lista permitida, que se puede personalizar para agregar clases adicionales con encriptación predeterminada en nist-sp-800-53-r5-restrict-storageclass.

6. Es obligatorio habilitar y configurar la autorización binaria en nist-sp-800-53-r5-require-binauthz.

   Nota: La autorización binaria está disponible para Google Kubernetes Engine (GKE) y en Vista previa para GKE en Google Distributed Cloud.

Audita el paquete de políticas de NIST SP 800-53 Rev. 5

El Controlador de políticas te permite aplicar políticas a tu clúster de Kubernetes. Para ayudarte a probar tus cargas de trabajo y su cumplimiento con respecto a las políticas de NIST SP 800-53 descritas en la tabla anterior, puedes implementar estas restricciones en modo de "auditoría" para revelar incumplimientos y, lo que es más importante, darte la oportunidad de corregirlos antes de aplicarlas en tu clúster de Kubernetes.

Puedes aplicar estas políticas con spec.enforcementAction configurado como dryrun mediante kubectl, kpt o el Sincronizador de configuración.

kubectl

1. Obtén una vista previa de las restricciones de la política con kubectl (opcional):

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-53-r5
   

2. Aplica las restricciones de la política con kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-53-r5
   

   Esta es la salida:

   asmpeerauthnstrictmtls.constraints.gatekeeper.sh/nist-sp-800-53-r5-asm-peer-authn-strict-mtls created
   k8sallowedrepos.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-repos created
   k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/nist-sp-800-53-r5-block-creation-with-default-serviceaccount created
   k8sblockobjectsoftype.constraints.gatekeeper.sh/nist-sp-800-53-r5-block-secrets-of-type-basic-auth created
   k8senforceconfigmanagement.constraints.gatekeeper.sh/nist-sp-800-53-r5-enforce-config-management created
   k8spspapparmor.constraints.gatekeeper.sh/nist-sp-800-53-r5-apparmor created
   k8spspcapabilities.constraints.gatekeeper.sh/nist-sp-800-53-r5-capabilities created
   k8spspforbiddensysctls.constraints.gatekeeper.sh/nist-sp-800-53-r5-sysctls created
   k8spsphostfilesystem.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-hostpath-volumes created
   k8spsphostnamespace.constraints.gatekeeper.sh/nist-sp-800-53-r5-host-namespaces created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nist-sp-800-53-r5-host-network created
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/nist-sp-800-53-r5-privileged-containers created
   k8spspprocmount.constraints.gatekeeper.sh/nist-sp-800-53-r5-proc-mount-type created
   k8spspselinuxv2.constraints.gatekeeper.sh/nist-sp-800-53-r5-selinux created
   k8spspseccomp.constraints.gatekeeper.sh/nist-sp-800-53-r5-seccomp created
   k8spspvolumetypes.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-volume-types created
   k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-role-wildcards created
   k8srequirebinauthz.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-binauthz created
   k8srequirecosnodeimage.constraints.gatekeeper.sh/nist-sp-800-53-r5-nodes-have-consistent-time created
   k8srequiredaemonsets.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-av-daemonset created
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-namespace-network-policies created
   k8srequiredlabels.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-managed-by-label created
   k8srequiredresources.constraints.gatekeeper.sh/nist-sp-800-53-r5-cpu-and-memory-limits-required created
   k8srestrictrbacsubjects.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-rbac-subjects created
   k8srestrictrolebindings.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-clusteradmin-rolebindings created
   k8sstorageclass.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-storageclass created
   

3. Verifica que se hayan instalado las restricciones de políticas y verifica si las infracciones existen en el clúster:

   kubectl get constraints -l policycontroller.gke.io/bundleName=nist-sp-800-53-r5
   

   El resultado es similar al siguiente:

   NAME                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspapparmor.constraints.gatekeeper.sh/nist-sp-800-53-r5-apparmor   dryrun               0
   
   NAME                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirebinauthz.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-binauthz   dryrun               0
   
   NAME                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrbacsubjects.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-rbac-subjects   dryrun               0
   
   NAME                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspforbiddensysctls.constraints.gatekeeper.sh/nist-sp-800-53-r5-sysctls   dryrun               0
   
   NAME                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspvolumetypes.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-volume-types   dryrun               0
   
   NAME                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nist-sp-800-53-r5-host-network   dryrun               0
   
   NAME                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnamespace.constraints.gatekeeper.sh/nist-sp-800-53-r5-host-namespaces   dryrun               0
   
   NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredaemonsets.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-av-daemonset   dryrun               0
   
   NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-role-wildcards   dryrun               0
   
   NAME                                                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/nist-sp-800-53-r5-block-creation-with-default-serviceaccount   dryrun               0
   
   NAME                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostfilesystem.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-hostpath-volumes   dryrun               0
   
   NAME                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspseccomp.constraints.gatekeeper.sh/nist-sp-800-53-r5-seccomp   dryrun               0
   
   NAME                                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   asmpeerauthnstrictmtls.constraints.gatekeeper.sh/nist-sp-800-53-r5-asm-peer-authn-strict-mtls   dryrun               0
   
   NAME                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredresources.constraints.gatekeeper.sh/nist-sp-800-53-r5-cpu-and-memory-limits-required   dryrun               0
   
   NAME                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprocmount.constraints.gatekeeper.sh/nist-sp-800-53-r5-proc-mount-type   dryrun               0
   
   NAME                                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockobjectsoftype.constraints.gatekeeper.sh/nist-sp-800-53-r5-block-secrets-of-type-basic-auth   dryrun               0
   
   NAME                                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-namespace-network-policies   dryrun               0
   
   NAME                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspcapabilities.constraints.gatekeeper.sh/nist-sp-800-53-r5-capabilities   dryrun               0
   
   NAME                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sstorageclass.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-storageclass   dryrun               0
   
   NAME                                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredlabels.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-managed-by-label   dryrun               0
   
   NAME                                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/nist-sp-800-53-r5-privileged-containers   dryrun               0
   
   NAME                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sallowedrepos.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-repos   dryrun               0
   
   NAME                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspselinuxv2.constraints.gatekeeper.sh/nist-sp-800-53-r5-selinux   dryrun               0
   
   NAME                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8senforceconfigmanagement.constraints.gatekeeper.sh/nist-sp-800-53-r5-enforce-config-management   dryrun               0
   
   NAME                                                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolebindings.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-clusteradmin-rolebindings   dryrun               0
   
   NAME                                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirecosnodeimage.constraints.gatekeeper.sh/nist-sp-800-53-r5-nodes-have-consistent-time   dryrun               0
   

kpt

1. Instala y configura kpt.

   kpt se usa en estas instrucciones para implementar y personalizar recursos de Kubernetes.

2. Descarga el paquete de políticas de NIST SP 800-53 Rev. 5 desde GitHub con kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-53-r5
   

3. Ejecuta la función kpt set-enforcement-action para establecer la acción de aplicación de las políticas en dryrun:

   kpt fn eval nist-sp-800-53-r5 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
   -- enforcementAction=dryrun
   

4. Inicializa el directorio de trabajo con kpt, que crea un recurso para realizar un seguimiento de los cambios:

   cd nist-sp-800-53-r5 kpt live init
   

5. Aplica las restricciones de políticas con kpt:

   kpt live apply
   

6. Verifica que se hayan instalado las restricciones de políticas y verifica si las infracciones existen en el clúster:

   kpt live status --output table --poll-until current
   

   Un estado de CURRENT confirma la instalación correcta de las restricciones.

Sincronizador de configuración

1. Instala y configura kpt.

   kpt se usa en estas instrucciones para implementar y personalizar recursos de Kubernetes.

   Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:

2. Cambia al directorio del Sincronizador de configuración:

   cd SYNC_ROOT_DIR
   

   Nota: Kpt v1.0.0-beta.17 y las versiones posteriores crean automáticamente un archivo resourcegroup.yaml durante live init que no debe registrarse en el repositorio del Sincronizador de configuración. Si aún no está presente, agrega resourcegroup.yaml al archivo .gitignore del repositorio.

   Para crear o adjuntar .gitignore con resourcegroup.yaml, haz lo siguiente:

   echo resourcegroup.yaml >> .gitignore
   

3. Crea un directorio policies dedicado:

   mkdir -p policies
   

4. Descarga el paquete de políticas de NIST SP 800-53 Rev. 5 desde GitHub con kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-53-r5 policies/nist-sp-800-53-r5
   

5. Ejecuta la función kpt set-enforcement-action para establecer la acción de aplicación de las políticas en dryrun:

   kpt fn eval policies/nist-sp-800-53-r5 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

6. (Opcional) Obtén una vista previa de las restricciones de la política que se crearán:

   kpt live init policies/nist-sp-800-53-r5 kpt live apply --dry-run policies/nist-sp-800-53-r5
   

7. Si el directorio de sincronización del Sincronizador de configuración usa Kustomize, agrega policies/nist-sp-800-53-r5 a la raíz kustomization.yaml. De lo contrario, quita el archivo policies/nist-sp-800-53-r5/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/nist-sp-800-53-r5/kustomization.yaml
   

8. Envía los cambios al repositorio del Sincronizador de configuración:

   git add SYNC_ROOT_DIR/policies/nist-sp-800-53-r5 git commit -m 'Adding NIST SP 800-53 Rev. 5 policy audit enforcement'
   git push
   

9. Verifica el estado de la instalación:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Un estado de SYNCED confirma la instalación de las políticas.

Visualiza incumplimientos de políticas

Una vez que las restricciones de la política se instalan en el modo de auditoría, los incumplimientos del clúster se pueden ver en la IU mediante el Panel del controlador de políticas.

1. También puedes usar kubectl para ver los incumplimientos en el clúster con el siguiente comando:

   kubectl get constraint -l policycontroller.gke.io/bundleName=nist-sp-800-53-r5 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
   

2. Si hay incumplimientos, se puede ver una lista de los mensajes de incumplimiento por restricción con lo siguiente:

   kubectl get constraint -l policycontroller.gke.io/bundleName=nist-sp-800-53-r5 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
   

Cambiar la acción de aplicación del paquete de políticas de NIST SP 800-53 Rev. 5

Una vez que hayas revisado los incumplimientos de políticas en tu clúster, puedes considerar cambiar el modo de aplicación para que el controlador de admisión warn o incluso deny bloquee los recursos que no cumplen con las políticas en el clúster.

Advertencia: La acción de aplicación deny debe usarse con cuidado, ya que puede bloquear los cambios necesarios y provocar la interrupción de las cargas de trabajo críticas o del clúster. Se recomienda que solo se usen las acciones de aplicación warn o dryrun en clústeres con cargas de trabajo de producción, cuando se prueben restricciones nuevas o se realicen migraciones, como actualizar plataformas. Para obtener más información sobre las acciones de aplicación, consulta Realiza auditorías mediante restricciones.

kubectl

1. Usa kubectl para establecer la acción de aplicación de las políticas en warn:

   kubectl get constraints -l policycontroller.gke.io/bundleName=nist-sp-800-53-r5 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Verifica que se haya actualizado la acción de aplicación de restricciones de la política:

   kubectl get constraints -l policycontroller.gke.io/bundleName=nist-sp-800-53-r5
   

kpt

1. Ejecuta la función kpt set-enforcement-action para establecer la acción de aplicación de las políticas en warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Aplica las restricciones de la política:

   kpt live apply
   

Sincronizador de configuración

Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:

1. Cambia al directorio del Sincronizador de configuración:

   cd SYNC_ROOT_DIR
   

2. Ejecuta la función kpt set-enforcement-action para establecer la acción de aplicación de las políticas en warn:

   kpt fn eval policies/nist-sp-800-53-r5 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Envía los cambios al repositorio del Sincronizador de configuración:

   git add SYNC_ROOT_DIR/policies/nist-sp-800-53-r5
   git commit -m 'Adding NIST SP 800-53 Rev. 5 policy warn enforcement'
   git push
   

4. Verifica el estado de la instalación:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   El repositorio que aparece en la columna SYNCED confirma la instalación de las políticas.

Aplicación de la política de prueba

Crea un recurso que no cumpla con las políticas en el clúster con el siguiente comando:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  name: wp-non-compliant
spec:
  containers:
    ‐ image: wordpress
      name: wordpress
EOF

El controlador de admisión debe producir una advertencia en la que se mencionen los incumplimientos de políticas que infringe este recurso, como se muestra en el siguiente ejemplo:

Warning: [nist-sp-800-53-r5-cpu-and-memory-limits-required] container <wordpress> does not have <{"cpu", "memory"}> limits defined
Warning: [nist-sp-800-53-r5-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"]
pod/wp-non-compliant created

Se quitó el paquete de políticas de NIST SP 800-53 Rev. 5

Si es necesario, se puede quitar el paquete de políticas de NIST SP 800-53 Rev. 5 del clúster.

kubectl

• Usa kubectl para quitar las políticas:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=nist-sp-800-53-r5
  

kpt

• Quita las políticas:

  kpt live destroy
  

Sincronizador de configuración

Los operadores que usan el Sincronizador de configuración para implementar políticas en sus clústeres pueden usar las siguientes instrucciones:

1. Envía los cambios al repositorio del Sincronizador de configuración:

   git rm -r SYNC_ROOT_DIR/policies/nist-sp-800-53-r5
   git commit -m 'Removing NIST SP 800-53 Rev. 5 policies'
   git push
   

2. Verifica el estado:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   El repositorio que aparece en la columna SYNCED confirma la eliminación de las políticas.