Cette page explique comment établir de bonnes pratiques de sécurité pour Google Distributed Cloud. Les conseils figurant sur cette page ne visent pas à vous fournir une liste complète des bonnes pratiques.
L'application des bonnes pratiques de sécurité sur Google Distributed Cloud implique l'application de concepts de Kubernetes et de Google Kubernetes Engine (GKE), ainsi que de concepts propres à Google Distributed Cloud.
Sécurité de Kubernetes
Nous vous recommandons de suivre les consignes générales de sécurité de Kubernetes lorsque vous utilisez Google Distributed Cloud.
Pour en savoir plus sur les consignes de sécurité de Kubernetes, consultez la checklist de sécurité et la présentation de la sécurité native sur le cloud dans la documentation de Kubernetes.
Sécurité de GKE
Google Distributed Cloud étend GKE pour vous permettre de créer des clusters GKE sur vos propres serveurs Linux et sur vos propres sites. Pour en savoir plus sur la sécurité de GKE, consultez la présentation de la sécurité dans GKE. N'oubliez pas que, comme votre plan de contrôle et vos nœuds s'exécutent sur site, les suggestions concernant la sécurité du plan de contrôle et la sécurité des nœuds ne s'appliquent pas.
Sécurité de Google Distributed Cloud
Les sections suivantes fournissent des conseils pour établir de bonnes pratiques de sécurité pour Google Distributed Cloud.
Sécurité du matériel
Sécurisez vos centres de données sur site à l'aide de fonctionnalités de sécurité physique et de sécurité physiques standards dans l'industrie.
Assurez-vous que l'accès à votre poste de travail administrateur est hautement limité. Le poste de travail administrateur stocke des données sensibles telles que les fichiers
kubeconfig, les clés SSH et les clés de compte de service.
Sécurité des nœuds
- Maintenez votre système d'exploitation à jour en mettant à jour les packages logiciels et en installant des correctifs de sécurité.
Sécurité du cluster
Renforcez la sécurité de vos clusters Google Distributed Cloud.
Isolez votre trafic et vos données à l'aide d'un déploiement de clusters d'administrateur et d'utilisateur. Ce type de déploiement vous aide à obtenir les types d'isolation suivants:
- Le trafic de la charge de travail est isolé du trafic du plan administratif ou de gestion.
- L'accès aux clusters est isolé par groupe ou par rôle.
- Les charges de travail de production sont isolées des charges de travail de développement.
Mettez à niveau vos clusters vers une version compatible. L'utilisation d'une version compatible vous offre les avantages suivants en termes de sécurité:
- Correction des failles de sécurité.
- Nouvelles fonctionnalités exploitant les dernières stratégies de sécurité.
- Mises à jour pour les composants logiciels et les composants groupés.
Sécurité des charges de travail
Sécurisez vos conteneurs à l'aide de Security-Enhanced Linux (SELinux).
Sécurisez vos charges de travail avec l'autorisation binaire. L'autorisation binaire est un service Google Cloud qui fournit une sécurité sur la chaîne d'approvisionnement logicielle pour les applications exécutées dans le cloud. Avec l'autorisation binaire, vous pouvez vous assurer que les processus internes protégeant la qualité et l'intégrité de vos logiciels se sont bien terminés avant de déployer une application dans votre environnement de production.
Utilisez Workload Identity pour permettre aux pods d'accéder aux ressources Google Cloud. Workload Identity permet à un compte de service Kubernetes de s'exécuter en tant que compte de service IAM. Les pods qui s'exécutent en tant que compte de service Kubernetes disposent des autorisations du compte de service IAM.
Sécurité du réseau
Choisissez une connexion sécurisée entre Google Distributed Cloud et Google Cloud. Une fois votre connexion fondamentale établie, ajoutez des fonctionnalités qui renforcent sa sécurité.
Limitez l'exposition de vos clusters à l'Internet public en les installant derrière un proxy et en créant des règles de pare-feu. Utilisez également les contrôles appropriés dans votre environnement réseau pour limiter l'accès public au cluster.
Sécurité de l'authentification
Gérez l'identité avec GKE Identity Service. GKE Identity Service est un service d'authentification qui vous permet d'utiliser vos solutions d'identité existantes pour l'authentification dans plusieurs environnements Google Kubernetes Engine (GKE) Enterprise Edition. Vous pouvez vous connecter à vos clusters Google Distributed Cloud et les utiliser à partir de la ligne de commande (tous les fournisseurs) ou de la console Google Cloud (OIDC uniquement), le tout à l'aide de votre fournisseur d'identité existant.
Connectez-vous aux clusters enregistrés avec la passerelle Connect. La passerelle Connect s'appuie sur la puissance des parcs pour permettre aux utilisateurs de GKE Enterprise de se connecter aux clusters enregistrés et d'exécuter des commandes sur ceux-ci de manière simple, cohérente et sécurisée.
Sécurité des identifiants
Effectuer une rotation des autorités de certification Google Distributed Cloud utilise des certificats et des clés privées pour authentifier et chiffrer les connexions entre les composants système des clusters. Pour maintenir une communication sécurisée entre les clusters, effectuez une rotation des autorités de certification de votre cluster d'utilisateur régulièrement et chaque fois qu'une brèche de sécurité est possible.
Effectuez une rotation des clés de compte de service. Pour réduire le risque de sécurité causé par la fuite de clés, nous vous recommandons d'alterner régulièrement vos clés de service.
Surveillez la sécurité
- Utilisez les journaux d'audit Kubernetes. Les journaux d'audit permettent aux administrateurs de conserver, d'interroger, de traiter et d'alerter sur les événements qui se produisent dans vos environnements Google Distributed Cloud.
Pour en savoir plus sur la surveillance de la sécurité des clusters, consultez Surveiller la stratégie de sécurité du parc.