Menggunakan batasan kebijakan PCI-DSS v3.2.1

Perhatian: Paket kebijakan PCI-DSS v3.2.1 tidak digunakan lagi. Bermigrasi ke paket kebijakan PCI DSS v4.0.

Pengontrol Kebijakan dilengkapi dengan library default yang berisi template batasan yang dapat digunakan dengan Paket PCI-DSS v3.2.1 untuk mengevaluasi kepatuhan resource cluster Anda terhadap beberapa aspek Standar Keamanan Data Industri Kartu Pembayaran (PCI-DSS) v3.2.1.

Halaman ini ditujukan untuk admin IT dan Operator yang ingin memastikan bahwa semua resource yang berjalan dalam platform {i>cloud<i} memenuhi persyaratan persyaratan kepatuhan dengan menyediakan dan mempertahankan otomatisasi untuk terapkan. Untuk mempelajari lebih lanjut tentang peran umum dan contoh tugas yang kami rujuk di konten Google Cloud, lihat Peran dan tugas pengguna GKE Enterprise yang umum.

Batasan paket kebijakan PCI-DSS v3.2.1

Nama Batasan	Deskripsi Batasan	ID Kontrol	Profil
pci-dss-v3.2.1-resources-have-required-labels	Memastikan persyaratan untuk firewall dengan mewajibkan semua aplikasi berisi label yang ditentukan.	1.1.4	Standard
pci-dss-v3.2.1-apps-must-have-certain-set-of-annotations	Memastikan persyaratan untuk kontrol jaringan dengan mewajibkan semua aplikasi berisi anotasi yang ditentukan.	1.1.5, 2.4	Standard
pci-dss-v3.2.1-require-default-deny-network-policies	Setiap namespace yang ditentukan dalam cluster harus memiliki NetworkPolicy tolak default untuk traffic keluar.	1.2, 1.3, 2.2.2	Diperpanjang
pci-dss-v3.2.1-block-all-ingress	Membatasi pembuatan objek masuk.	1.2, 1.3	Diperpanjang
pci-dss-v3.2.1-require-valid-network-ranges	Membatasi rentang CIDR yang diizinkan untuk digunakan dengan traffic masuk dan keluar.	1.2, 1.3.2	Diperpanjang
pci-dss-v3.2.1-require-namespace-network-policies	Setiap namespace yang ditentukan di cluster harus memiliki NetworkPolicy.	1,2	Standard
pci-dss-v3.2.1-enforce-managed-by-configmanagement-label	Memerlukan label app.kubernetes.io/managed-by= yang valid pada resource RoleBinding.	1.2.2, 8.1.2	Standard
pci-dss-v3.2.1-block-creation-with-default-serviceaccount	Membatasi pembuatan resource menggunakan akun layanan default.	2.1	Standard
pci-dss-v3.2.1-restrict-default-namespace	Membatasi pod agar tidak menggunakan namespace default.	2.1	Standard
pci-dss-v3.2.1-asm-peer-authn-strict-mtls	Penerapan semua PeerAuthentication tidak dapat menimpa mMTLS yang ketat.	4.1	Standard
pci-dss-v3.2.1-require-av-daemonset	Memerlukan adanya daemonset Anti-Virus.	5.1.1, 5.3	Standard
pci-dss-v3.2.1-enforce-config-management	Menerapkan keberadaan dan pengaktifan Config Sync.	5.3, 6.1, 6.4	Standard
pci-dss-v3.2.1-enforce-cloudarmor-backendconfig	Terapkan konfigurasi Cloud Armor di resource BackendConfig.	6,5, 6,6	Standard
pci-dss-v3.2.1-restrict-rbac-subjects	Membatasi penggunaan nama dalam subjek RBAC pada nilai yang diizinkan.	8.1, 8.1.5	Diperpanjang
pci-dss-v3.2.1-block-secrets-of-type-basic-auth	Membatasi penggunaan secret jenis autentikasi dasar.	8.1.5, 8.2.3, 8.5	Standard
pci-dss-v3.2.1-nodes-have-consistent-time	Memastikan waktu yang konsisten dan tepat di Node dengan memastikan penggunaan COS sebagai OS image.	10.4.1, 10.4.3	Standard

Batasan paket Standar vs. Diperpanjang

Paket PCI-DSS v3.2.1 mengimplementasikan seperangkat persyaratan kebijakan untuk mencapai beberapa aspek kontrol PCI-DSS v3.2.1. Selain modifikasi pada beban kerja Anda agar sesuai dengan persyaratan paket Standar, tersedia juga kumpulan batasan opsional yang memerlukan penyesuaian untuk lingkungan Anda.

Sebelum memulai

1. Instal dan inisialisasikan Google Cloud CLI, yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah terinstal.
2. Menginstal Pengontrol Kebijakan v1.14.3 atau yang lebih tinggi di cluster Anda dengan library default constraint template. Anda juga harus mengaktifkan dukungan untuk referensial batasan karena paket ini berisi batasan referensial.

Mengonfigurasi Pengontrol Kebijakan untuk batasan referensial

Peringatan: Anda dapat menimpa perubahan. Jika Anda sudah memiliki Config dalam namespace gatekeeper-system, Anda harus menyertakan semua elemen sebelumnya setelan penyesuaian untuk mempertahankan perubahan Anda.

1. Simpan manifes YAML berikut ke file sebagai policycontroller-config.yaml. Manifes mengonfigurasi Pengontrol Kebijakan untuk mengawasi jenis objek tertentu.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: "apps"
           version: "v1"
           kind: "DaemonSet"
         - group: "networking.k8s.io"
           version: "v1"
           kind: "NetworkPolicy"
   

2. Terapkan manifes policycontroller-config.yaml:

   kubectl apply -f policycontroller-config.yaml
   

Mengonfigurasi workload cluster Anda untuk PCI-DSS v3.2.1

Paket Standar

1. Semua aplikasi (ReplicaSet, Deployment, StatefulSet, dan DaemonSet) harus menyertakan pci-dss-firewall-audit label dengan skema pci-dss-[0-9]{4}q[1-4].
2. Semua aplikasi (ReplicaSet, Deployment, StatefulSet, DaemonSet) harus menyertakan anotasi network-controls/date dengan skemaYYYY-MM-DD.
3. Setiap namespace yang ditentukan dalam cluster harus memiliki NetworkPolicy.
4. Penggunaan Config Sync untuk configmanagement.gke.io diwajibkan secara default, tetapi izin yang diizinkan Nilai app.kubernetes.io/managed-by dapat disesuaikan di Batasan pci-dss-v3.2.1-enforce-managed-by-configmanagement-label.
5. Resource tidak dapat dibuat menggunakan akun layanan default.
6. namespace default tidak dapat digunakan untuk pod.
7. Jika menggunakan Cloud Service Mesh, ASM PeerAuthentication harus menggunakan spec.mtls.mode: STRICT mTLS yang ketat.
8. Solusi antivirus diperlukan. Defaultnya adalah adanya daemonset bernama clamav di pci-dss-av namespace, tetapi nama dan namespace daemonset dapat disesuaikan dengan implementasi Anda di batasan pci-dss-v3.2.1-require-av-daemonset.
9. Config Sync harus ada dan diaktifkan.
10. Semua BackendConfig harus dikonfigurasi untuk CloudArmor.
11. Penggunaan rahasia jenis basic-auth tidak diizinkan.
12. Semua node harus menggunakan OS yang Dioptimalkan untuk Container Google untuk image-nya agar memiliki waktu yang konsisten.

Paket yang Diperluas (opsional dengan penyesuaian yang diperlukan)

1. Setiap namespace yang ditentukan dalam cluster memiliki NetworkPolicy tolak default untuk traffic keluar, pengecualian yang diizinkan dapat bersifat spesifik di pci-dss-v3.2.1-require-namespace-network-policies.
2. Hanya objek Ingress yang diizinkan (Ingress, Gateway, dan Service jenis NodePort dan LoadBalancer) yang dapat dibuat, keduanya dapat ditentukan di pci-dss-v3.2.1-block-all-ingress.
3. Hanya rentang IP yang diizinkan yang dapat digunakan untuk Ingress dan Express. Rentang ini dapat ditentukan di pci-dss-v3.2.1-require-valid-network-ranges.
4. Hanya subjek yang diizinkan yang dapat digunakan dalam binding RBAC, nama domain Anda dapat ditentukan di pci-dss-v3.2.1-restrict-rbac-subjects.

Paket kebijakan Audit PCI-DSS v3.2.1

Pengontrol Kebijakan dapat digunakan untuk menerapkan kebijakan untuk cluster Kubernetes. Untuk membantu menguji beban kerja dan kepatuhannya terhadap kebijakan PCI-DSS v3.2.1 diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan tersebut di bagian "audit" untuk mengungkap pelanggaran dan yang lebih penting lagi, memberi diri Anda kesempatan untuk memperbaikinya sebelum menerapkannya di cluster Kubernetes Anda.

Catatan: Kecuali jika ditentukan lain, petunjuk berikut berlaku untuk profil paket standar pci-dss-v3.2.1. Untuk menerapkan batasan paket yang diperluas pci-dss-v3.2.1, setelah menerapkan paket standar dan menyelesaikan penyesuaian yang ditentukan di bagian Paket yang Diperluas sebelumnya, terapkan paket yang diperluas dengan mengikuti petunjuk, tetapi dengan mengganti pci-dss-v3.2.1-extended dengan pci-dss-v3.2.1.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction yang disetel ke dryrun menggunakan kubectl, kpt, atau Sinkronisasi Konfigurasi.

kubectl

1. (Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1
   

2. Terapkan batasan kebijakan dengan kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1
   

   Outputnya adalah sebagai berikut:

   asmpeerauthnstrictmtls.constraints.gatekeeper.sh/pci-dss-v3.2.1-asm-peer-authn-strict-mtls created
   k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/pci-dss-v3.2.1-block-creation-with-default-serviceaccount created
   k8sblockobjectsoftype.constraints.gatekeeper.sh/pci-dss-v3.2.1-block-secrets-of-type-basic-auth created
   k8senforcecloudarmorbackendconfig.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-cloudarmor-backendconfig created
   k8senforceconfigmanagement.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-config-management created
   k8srequirecosnodeimage.constraints.gatekeeper.sh/pci-dss-v3.2.1-nodes-have-consistent-time created
   k8srequiredaemonsets.constraints.gatekeeper.sh/pci-dss-v3.2.1-require-av-daemonset created
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/pci-dss-v3.2.1-require-namespace-network-policies created
   k8srequiredannotations.constraints.gatekeeper.sh/pci-dss-v3.2.1-apps-must-have-certain-set-of-annotations created
   k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-managed-by-configmanagement-label created
   k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v3.2.1-resources-have-required-labels created
   k8srestrictnamespaces.constraints.gatekeeper.sh/pci-dss-v3.2.1-restrict-default-namespace created
   

3. Pastikan batasan kebijakan telah diinstal dan periksa apakah terdapat pelanggaran di seluruh cluster:

   kubectl get -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1
   

   Outputnya mirip dengan hal berikut ini:

   NAME                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   asmpeerauthnstrictmtls.constraints.gatekeeper.sh/pci-dss-v3.2.1-asm-peer-authn-strict-mtls   dryrun               0
   
   NAME                                                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/pci-dss-v3.2.1-block-creation-with-default-serviceaccount   dryrun               0
   
   NAME                                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockobjectsoftype.constraints.gatekeeper.sh/pci-dss-v3.2.1-block-secrets-of-type-basic-auth   dryrun               0
   
   NAME                                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8senforcecloudarmorbackendconfig.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-cloudarmor-backendconfig   dryrun               0
   
   NAME                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8senforceconfigmanagement.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-config-management   dryrun               0
   
   NAME                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirecosnodeimage.constraints.gatekeeper.sh/pci-dss-v3.2.1-nodes-have-consistent-time   dryrun               0
   
   NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredaemonsets.constraints.gatekeeper.sh/pci-dss-v3.2.1-require-av-daemonset   dryrun               0
   
   NAME                                                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/pci-dss-v3.2.1-require-namespace-network-policies   dryrun               0
   
   NAME                                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredannotations.constraints.gatekeeper.sh/pci-dss-v3.2.1-apps-must-have-certain-set-of-annotations   dryrun               0
   
   NAME                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-managed-by-configmanagement-label   dryrun               0
   k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v3.2.1-resources-have-required-labels              dryrun               0
   
   NAME                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictnamespaces.constraints.gatekeeper.sh/pci-dss-v3.2.1-restrict-default-namespace   dryrun               0
   

kpt

1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

2. Download paket kebijakan PCI-DSS v3.2.1 dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1
   

3. Menjalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap dryrun:

   kpt fn eval pci-dss-v3.2.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
     -- enforcementAction=dryrun
   

4. Menginisialisasi direktori kerja dengan kpt, yang membuat resource untuk lacak perubahan:

   cd pci-dss-v3.2.1
   kpt live init
   

5. Terapkan batasan kebijakan dengan kpt:

   kpt live apply
   

6. Pastikan batasan kebijakan telah diinstal dan periksa apakah terdapat pelanggaran di seluruh cluster:

   kpt live status --output table --poll-until current
   

   Status CURRENT mengonfirmasi keberhasilan penginstalan batasan data.

Config Sync

1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

   Catatan: Kpt v1.0.0-beta.17 dan yang lebih baru secara otomatis membuat resourcegroup.yaml file selama live init yang tidak boleh diperiksa ke repositori Config Sync Anda. Jika belum ada, tambahkan resourcegroup.yaml ke file .gitignore repo Anda.

   Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

2. Buat direktori policies khusus:

   mkdir -p policies
   

3. Download paket kebijakan PCI-DSS v3.2.1 dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1 policies/pci-dss-v3.2.1
   

4. Menjalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap dryrun:

   kpt fn eval policies/pci-dss-v3.2.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

5. (Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

   kpt live init policies/pci-dss-v3.2.1
   kpt live apply --dry-run policies/pci-dss-v3.2.1
   

6. Jika direktori sinkronisasi untuk Config Sync menggunakan Kustomize, tambahkan policies/pci-dss-v3.2.1 ke kustomization.yaml root Anda. Jika tidak, hapus file policies/pci-dss-v3.2.1/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/pci-dss-v3.2.1/kustomization.yaml
   

7. Mengirim perubahan ke repo Config Sync:

   git add SYNC_ROOT_DIR/policies/pci-dss-v3.2.1
   git commit -m 'Adding PCI-DSS v3.2.1 policy audit enforcement'
   git push
   

8. Verifikasi status penginstalan:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Status SYNCED mengonfirmasi penginstalan kebijakan.

Lihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran di cluster menggunakan perintah berikut:

kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Jika ditemukan pelanggaran, listingan pesan pelanggaran per batasan dapat dilihat dengan:

kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Mengubah tindakan penegakan paket kebijakan PCI-DSS v3.2.1

Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan mengubah mode penerapan sehingga Pengontrol Penerimaan akan warn aktif atau bahkan deny akan memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.

Peringatan: Tindakan penegakan deny harus digunakan dengan hati-hati karena dapat berpotensi memblokir perubahan yang diperlukan yang mengakibatkan gangguan pada workload atau cluster tersebut. Sangat disarankan agar hanya warn atau Tindakan penegakan kebijakan dryrun digunakan pada cluster dengan beban kerja produksi, saat menguji batasan baru, atau melakukan migrasi, seperti mengupgrade di berbagai platform Google. Untuk informasi selengkapnya tentang tindakan penegakan kebijakan, lihat Mengaudit menggunakan batasan.

kubectl

1. Gunakan kubectl untuk menetapkan kebijakan' tindakan penegakan kebijakan untuk warn:

   kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Pastikan tindakan penegakan batasan kebijakan telah diperbarui:

   kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1
   

kpt

1. Menjalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Terapkan batasan kebijakan:

   kpt live apply
   

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

2. Menjalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap warn:

   kpt fn eval policies/pci-dss-v3.2.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Mengirim perubahan ke repo Config Sync:

   git add SYNC_ROOT_DIR/policies/pci-dss-v3.2.1
   git commit -m 'Adding PCI-DSS v3.2.1 policy bundle warn enforcement'
   git push
   

4. Verifikasi status penginstalan:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repositori Anda yang muncul di kolom SYNCED mengonfirmasi penginstalan kebijakan tersebut.

Menguji penerapan kebijakan

Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

Pengontrol penerimaan harus memberikan peringatan yang mencantumkan kebijakan pelanggaran yang dilanggar oleh resource ini, seperti yang ditunjukkan dalam contoh berikut:

Warning: [pci-dss-v3.2.1-restrict-default-namespace] <default> namespace is restricted
pod/wp-non-compliant created

Hapus paket kebijakan PCI-DSS v3.2.1

Jika perlu, paket kebijakan PCI-DSS v3.2.1 dapat dihapus dari cluster.

kubectl

• Gunakan kubectl untuk menghapus kebijakan:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1
  

kpt

• Hapus kebijakan:

  kpt live destroy
  

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:

1. Mengirim perubahan ke repo Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/pci-dss-v3.2.1
   git commit -m 'Removing PCI-DSS v3.2.1 policies'
   git push
   

2. Verifikasi statusnya:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repositori Anda yang muncul di kolom SYNCED mengonfirmasi penghapusan kebijakan tersebut.