Nesta página, apresentamos uma introdução sobre como estabelecer boas práticas de segurança para o Google Distributed Cloud. As orientações nesta página não têm o objetivo de fornecer uma lista abrangente de práticas recomendadas.
O uso das práticas recomendadas de segurança no Google Distributed Cloud envolve a aplicação de conceitos do Kubernetes e do Google Kubernetes Engine (GKE), além de conceitos exclusivos do Google Distributed Cloud.
Segurança do Kubernetes
Recomendamos que você siga as diretrizes gerais de segurança do Kubernetes ao usar o Google Distributed Cloud.
Para uma introdução às diretrizes de segurança do Kubernetes, consulte a Lista de verificação de segurança e a Visão geral da segurança nativa do Cloud na documentação do Kubernetes.
Segurança do GKE
O Google Distributed Cloud estende o GKE para permitir que você crie clusters do GKE nos seus próprios servidores Linux nas suas instalações. Para saber mais sobre a segurança do GKE, consulte a visão geral de segurança do GKE. Como você está lendo, tenha em mente que, como seu plano de controle e os nós são executados no local, as sugestões para segurança do plano de controle e segurança do nó não se aplicam.
Segurança do Google Distributed Cloud
As seções a seguir fornecem orientações para estabelecer boas práticas de segurança para o Google Distributed Cloud.
Segurança de hardware
Proteja seus data centers locais com recursos de segurança física e proteção padrão do setor.
Certifique-se de que o acesso à estação de trabalho do administrador seja altamente restrito. A estação de trabalho do administrador armazena dados confidenciais, como arquivos
kubeconfig, chaves SSH e chaves da conta de serviço.
Segurança de nós
- Atualize seu pacote de software e instale patches de segurança para manter seu sistema operacional atualizado.
Segurança do cluster
Aumente a segurança dos clusters do Google Distributed Cloud.
Isole seu tráfego e dados usando uma implantação de cluster de administrador e usuário. Esse tipo de implantação ajuda a alcançar os seguintes tipos de isolamento:
- O tráfego da carga de trabalho é isolado do tráfego administrativo ou do plano de gerenciamento.
- O acesso ao cluster é isolado por grupo ou papel.
- As cargas de trabalho de produção são isoladas das cargas de trabalho de desenvolvimento.
Faça upgrade dos clusters para uma versão compatível. O uso dessa versão oferece os seguintes benefícios de segurança:
- Correções de vulnerabilidades de segurança.
- Novos recursos e funções que aproveitam a postura e as tecnologias de segurança mais recentes.
- Atualizações para pacotes de software e componentes.
Segurança de cargas de trabalho
Proteja seus contêineres usando o Security-Enhanced Linux (SELinux).
Proteja suas cargas de trabalho com autorização binária. A autorização binária é um serviço do Google Cloud que fornece segurança de cadeia de fornecimento de software para aplicativos executados na nuvem. Com a autorização binária, é possível garantir que os processos internos que protegem a qualidade e a integridade do software sejam concluídos com êxito antes que um aplicativo seja implantado em seu ambiente de produção.
Use a Identidade da carga de trabalho para conceder aos pods acesso aos recursos do Google Cloud. A identidade da carga de trabalho permite que uma conta de serviço do Kubernetes seja executada como uma conta de serviço do IAM. Os pods executados como conta de serviço do Kubernetes têm as permissões da conta de serviço do IAM.
Segurança de rede
Escolha uma conexão segura entre o Google Distributed Cloud e o Google Cloud. Depois que a conexão básica estiver em vigor, adicione recursos para aumentar a segurança.
Limite a exposição dos clusters à Internet pública instalando-os por trás de um proxy e criando regras de firewall. Use também os controles apropriados no ambiente de rede para limitar o acesso público ao cluster.
Segurança da autenticação
Gerencie a identidade com o serviço de identidade do GKE. O serviço de identidade do GKE é um serviço de autenticação que permite trazer suas soluções de identidade atuais para autenticação em vários ambientes da edição Enterprise do Google Kubernetes Engine (GKE). É possível fazer login e usar seus clusters do Google Distributed Cloud na linha de comando (todos os provedores) ou no console do Google Cloud (somente OIDC), tudo isso usando seu provedor de identidade atual.
Conecte-se a clusters registrados com o gateway do Connect. O gateway do Connect aproveita o poder das frotas para permitir que os usuários do GKE Enterprise se conectem e executem comandos em clusters registrados de maneira simples, consistente e segura.
Segurança de credenciais
Rotacionar autoridades certificadoras O Google Distributed Cloud usa certificados e chaves privadas para autenticar e criptografar conexões entre componentes do sistema em clusters. Para manter a comunicação segura no cluster, rotacione as autoridades certificadoras do cluster de usuário periodicamente e sempre que houver uma possível violação de segurança.
Alterne as chaves da conta de serviço. Para reduzir o risco de segurança causado por chaves vazadas, recomendamos alternar as chaves regularmente.
Monitoramento da sua segurança
- Use a geração de registros de auditoria do Kubernetes. Com a geração de registros de auditoria, os administradores podem reter, consultar, processar e alertar sobre eventos que ocorrem nos seus ambientes do Google Distributed Cloud.
Para mais informações sobre como monitorar a segurança do cluster, consulte Monitorar a postura de segurança da frota.