Descripción general de seguridad

En esta página, se proporciona una introducción para establecer buenas prácticas de seguridad para GKE en Bare Metal. La orientación en esta página no pretende proporcionar una lista completa de las prácticas recomendadas.

El uso de prácticas recomendadas para la seguridad en GKE en Bare Metal implica aplicar conceptos de Kubernetes y Google Kubernetes Engine (GKE), así como conceptos que son exclusivos de GKE en Bare Metal.

Seguridad de Kubernetes

Te recomendamos que sigas los lineamientos generales de Kubernetes para la seguridad cuando uses GKE en Bare Metal.

Para obtener una introducción a los lineamientos de seguridad de Kubernetes, consulta la Lista de tareas de seguridad y la Descripción general de la seguridad nativa de la nube en la documentación de Kubernetes.

Seguridad de GKE

GKE en Bare Metal extiende GKE para crear clústeres de GKE en servidores Linux propios alojados en tus instalaciones. Para obtener más información sobre la seguridad de GKE, consulta la descripción general de seguridad de GKE. Mientras lees, ten en cuenta que, debido a que el plano de control y los nodos se ejecutan de manera local, no se aplican las sugerencias para la seguridad del plano de control y la seguridad de nodos.

Seguridad de GKE en Bare Metal

En las siguientes secciones, se proporciona orientación a fin de establecer buenas prácticas de seguridad para GKE en Bare Metal.

Seguridad del hardware

  • Protege tus centros de datos locales con las funciones de seguridad física y protección estándar de la industria.

  • Asegúrate de que el acceso a la estación de trabajo de administrador esté altamente restringido. La estación de trabajo de administrador almacena datos sensibles, como archivos kubeconfig, claves SSH y claves de cuenta de servicio.

Seguridad de nodos

  • Mantén tu sistema operativo actualizado mediante la actualización de los paquetes de software y la instalación de parches de seguridad.

Seguridad del clúster

  • Endurece la seguridad de tus clústeres de GKE en Bare Metal.

  • Aísla el tráfico y los datos mediante una implementación de clúster de usuario y de administrador. Este tipo de implementación te ayuda a lograr los siguientes tipos de aislamiento:

    • El tráfico de la carga de trabajo está aislado del tráfico administrativo o del plano de administración.
    • El acceso al clúster está aislado por grupo o rol.
    • Las cargas de trabajo de producción están aisladas de las de desarrollo.
  • Actualiza los clústeres a una versión compatible. Usar una versión compatible te proporciona los siguientes beneficios de seguridad:

    • Corrección de vulnerabilidades de seguridad
    • Funciones y características nuevas que aprovechan el nivel de seguridad y las tecnologías más recientes
    • Actualizaciones para software y componentes agrupados.

Seguridad de las cargas de trabajo

Seguridad de red

Seguridad de la autenticación

  • Administra la identidad con GKE Identity Service. GKE Identity Service es un servicio de autenticación que te permite usar tus soluciones de identidad existentes para la autenticación en varios entornos de la edición de Google Kubernetes Engine (GKE) Enterprise. Puedes acceder a tus clústeres de GKE en Bare Metal y usarlos desde la línea de comandos (todos los proveedores) o desde la consola de Google Cloud (solo OIDC), todo con tu proveedor de identidad existente.

  • Conéctate a clústeres registrados con la puerta de enlace de conexión. La puerta de enlace de Connect se basa en la potencia de las flotas para permitir que los usuarios de GKE Enterprise se conecten a clústeres registrados y ejecuten comandos en ellos de forma simple, coherente y segura.

Seguridad de credenciales

  • Rota las autoridades certificadoras. GKE en Bare Metal usa certificados y claves privadas para autenticar y encriptar conexiones entre componentes del sistema en clústeres. Para mantener una comunicación segura del clúster, rota las autoridades certificadoras del clúster de usuario de forma periódica y siempre que haya una posible violación de seguridad.

  • Rota claves de cuentas de servicio. Para reducir el riesgo de seguridad causado por claves filtradas, te recomendamos que rotes las claves de servicio con regularidad.

Supervisa tu seguridad

  • Usa el registro de auditoría de Kubernetes. El registro de auditoría proporciona una forma para que los administradores retengan, consulten, procesen y emitan alertas sobre los eventos que ocurren en tus entornos de GKE en Bare Metal.

Para obtener más información sobre la supervisión de la seguridad del clúster, consulta Supervisa la postura de seguridad de la flota.