Responsabilità condivisa di GKE Enterprise
L'esecuzione di un'applicazione business-critical su GKE Enterprise richiede che più parti assumano responsabilità diverse. Sebbene non sia un elenco esaustivo, questo argomento elenca i ruoli e le responsabilità per ogni opzione di cluster GKE Enterprise sia per Google che per il cliente.
Questa pagina è rivolta ad amministratori, architetti e operatori che gestiscono il ciclo di vita dell'infrastruttura tecnologica di base. Per scoprire di più sui ruoli comuni e sulle attività di esempio a cui facciamo riferimento nei Google Cloud contenuti, consulta Ruoli e attività utente comuni di GKE Enterprise.
GKE su Google Cloud
Responsabilità di Google
- Protezione dell'infrastruttura sottostante, inclusi hardware, firmware, kernel, sistema operativo, archiviazione, rete e altro ancora. Sono incluse la crittografia dei dati at-rest per impostazione predefinita, la crittografia aggiuntiva dei dischi gestita dal cliente, la crittografia dei dati in transito, l'utilizzo di hardware progettato su misura, la posa di cavi di rete privati, la protezione dei data center dall'accesso fisico, la protezione del bootloader e del kernel da eventuali modifiche mediante Nodi protetti e il rispetto di pratiche di sviluppo software sicure.
- Ottimizzazione e applicazione di patch al sistema operativo dei nodi, ad esempio Container-Optimized OS o Ubuntu. GKE rende disponibili tempestivamente eventuali patch per queste immagini. Se hai attivato l'upgrade automatico o utilizzi un canale di rilascio, questi aggiornamenti vengono implementati automaticamente. Si tratta del livello del sistema operativo sotto il tuo contenitore, non è lo stesso del sistema operativo in esecuzione nei contenitori.
- Creazione e gestione del rilevamento delle minacce per minacce specifiche dei container nel kernel con Container Threat Detection (prezzo separato con Security Command Center).
- Rafforzamento e
applicazione di patch
ai componenti dei nodi Kubernetes. Tutti i componenti gestiti di GKE vengono sottoposti ad upgrade automaticamente quando esegui l'upgrade delle versioni dei nodi GKE. Ad esempio:
- Meccanismo di bootstrap attendibile basato su vTPM per l'emissione di certificati TLS di kubelet e la rotazione automatica dei certificati
- Configurazione rafforzata di kubelet in base ai benchmark CIS
- Server metadati GKE per Workload Identity
- Il plug-in Container Network Interface e Calico per NetworkPolicy nativi di GKE
- Integrazioni di archiviazione Kubernetes GKE come il driver CSI
- Agenti di monitoraggio e logging GKE
- Rafforzamento e applicazione di patch al piano di controllo. Il piano di controllo include la VM del piano di controllo, l'API server, lo scheduler, il gestore del controller, l'autorità di certificazione del cluster, l'emissione e la rotazione dei certificati TLS, il materiale della chiave radice della attendibilità, l'autenticatore e l'autorizzatore IAM, la configurazione dei log di controllo, etcd e vari altri controller. Tutti i componenti del piano di controllo vengono eseguiti su istanze Compute Engine gestite da Google. Queste istanze sono monotenant, il che significa che ogni istanza esegue il piano di controllo e i relativi componenti per un solo cliente.
- Fornisce Google Cloud integrazioni per Connect, Identity and Access Management, Cloud Audit Logs, Google Cloud Observability, Cloud Key Management Service, Security Command Center e altri.
- Limita e registra l'accesso amministrativo di Google ai cluster dei clienti per scopi di assistenza contrattuale con Access Transparency.
Responsabilità del cliente
- Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini dei container, i dati, i criteri di IAM/controllo dell'accesso basato su ruoli (RBAC) e i container e i pod in esecuzione.
- Ruota le credenziali dei cluster.
- Registra i cluster per l'upgrade automatico (impostazione predefinita) o esegui l'upgrade dei cluster alle versioni supportate.
- Monitora il cluster e le applicazioni e rispondi ad avvisi e incidenti utilizzando tecnologie come la dashboard della posizione di sicurezza e Google Cloud Observability.
- Fornire a Google i dettagli dell'ambiente, se richiesti, per la risoluzione dei problemi.
- Assicurati che Logging e Monitoring siano attivati sui cluster. In assenza di log, l'assistenza è disponibile su una base di miglior impegno.
Google Distributed Cloud (solo software) su VMware
Responsabilità di Google
Gestisci e distribuisci il pacchetto software Google Distributed Cloud, inclusi i controller Kubernetes, vCenter e F5, il controller Ingress, gli agenti Connect, Logging e Monitoring e lo strumento a riga di comando
gkectl.Gestisci e distribuisci le immagini delle macchine della workstation di amministrazione e dei nodi Ubuntu, incluse le patch e le correzioni di sicurezza regolari.
Analizza continuamente i componenti con l'API Artifact Analysis e applica patch alle vulnerabilità note.
Invia notifiche agli utenti sugli upgrade disponibili per Google Distributed Cloud e produce script di upgrade per la versione precedente. Google Distributed Cloud su VMware supporta solo gli upgrade sequenziali (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci Google Cloud integrazioni per Connect e l'osservabilità di Google Cloud.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Amministrazione complessiva del sistema per i cluster on-premise.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini dei container, i dati, i criteri di IAM/controllo dell'accesso basato su ruoli (RBAC) e i container e i pod in esecuzione.
Gestire, mantenere e applicare patch all'infrastruttura, incluse reti, server, archiviazione e connettività a Google Cloud.
Gestisci, mantieni e applica patch a vSphere e ai bilanciatori del carico di rete.
Gestisci i contratti di assistenza con VMware e F5 (se implementati).
Esegui l'upgrade di Google Distributed Cloud a una versione supportata sulla base di una pianificazione regolare.
Esegui il deployment e testa i carichi di lavoro sulle immagini macchina dei nodi aggiornate. Esegui il deployment e testa le immagini delle workstation di amministrazione aggiornate nel tuo ambiente. Rivolgiti a Google per eventuali dubbi tramite l'assistenza clienti Google Cloud.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano impiegati nei cluster. In assenza di log, l'assistenza è disponibile su una base di miglior impegno.
Fornire a Google i dettagli ambientali (ad esempio la configurazione di rete) quando richiesto per la risoluzione dei problemi.
Google Distributed Cloud (solo software) su bare metal
Responsabilità di Google
Gestisci e distribuisci il pacchetto software Google Distributed Cloud, inclusi Kubernetes, Ingress Controller, Connect e gli agenti di monitoraggio e logging, nonché lo strumento a riga di comando
bmctl.Analizza continuamente i componenti con l'API Artifact Analysis e applica patch alle vulnerabilità note.
Comunica agli utenti gli upgrade disponibili per Google Distributed Cloud e genera istruzioni di upgrade per la versione precedente. Google Distributed Cloud on bare metal supporta gli upgrade sequenziali tra le versioni minori e le release delle patch (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci Google Cloud integrazioni per Connect e l'osservabilità di Google Cloud.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornisce l'amministrazione complessiva del sistema per i cluster.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestire, mantenere e applicare patch all'infrastruttura, incluse reti, server, archiviazione e connettività a Google Cloud.
Gestire i contratti di assistenza con i fornitori.
Esegui l'upgrade di Google Distributed Cloud a una versione supportata su base regolare.
Esegui il deployment e testa i carichi di lavoro sulle immagini macchina dei nodi aggiornate. Esegui il deployment e testa le immagini della postazione di lavoro dell'amministratore aggiornate nel tuo ambiente. Rivolgiti a Google per eventuali dubbi tramite l'assistenza clienti Google Cloud.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano impiegati nei cluster. In assenza di log, l'assistenza è disponibile su una base di miglior impegno.
Fornire a Google i dettagli ambientali (ad esempio la configurazione di rete) quando richiesto per la risoluzione dei problemi.
GKE su AWS (multi-cloud)
Responsabilità di Google
Gestisci e distribuisci il pacchetto software GKE su AWS, inclusi Kubernetes, le immagini di base, le funzionalità di integrazione di AWS, il controller Ingress, l'agente Connect e lo strumento a riga di comando
anthos-gke.Analizza continuamente i componenti con l'API Artifact Analysis e applica patch alle vulnerabilità note.
Gestisci e distribuisci le immagini macchina del servizio di gestione, del piano di controllo e del pool di nodi, incluse le patch regolari e le correzioni di sicurezza.
Comunica agli utenti gli upgrade disponibili per GKE su AWS e genera istruzioni di upgrade per la versione precedente. GKE su AWS supporta solo gli upgrade sequenziali (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci Google Cloud integrazioni per Connect e l'osservabilità di Google Cloud.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornisci l'amministrazione di sistema complessiva per i cluster GKE su AWS. Ad esempio, configurarli per il funzionamento nell'ambiente VPC aziendale.
Gestisci i tuoi workload, inclusi il codice dell'applicazione, i file di compilazione, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestisci e mantieni l'ambiente AWS, inclusa la configurazione di rete e la connettività a Google Cloud.
Gestire i contratti di assistenza con AWS.
Esegui regolarmente l'upgrade di GKE su AWS a una versione supportata.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano impiegati nei cluster. In assenza di log, l'assistenza è disponibile su una base di miglior impegno.
Fornire a Google i dettagli dell'ambiente (ad esempio la configurazione della VPC AWS) quando richiesto per la risoluzione dei problemi.
GKE su Azure
Responsabilità di Google
Gestisci e distribuisci il pacchetto software GKE su Azure, inclusi Kubernetes, immagini di base, integrazioni di Azure, il controller Ingress, l'agente Connect e Google Cloud CLI.
Analizza continuamente i componenti con l'API Artifact Analysis e applica patch alle vulnerabilità note.
Gestisci e distribuisci le immagini macchina del servizio di gestione, del piano di controllo e del pool di nodi, incluse le patch regolari e le correzioni di sicurezza.
Comunica agli utenti gli upgrade disponibili per GKE su Azure e genera istruzioni di upgrade per la versione precedente. GKE su Azure supporta solo gli upgrade sequenziali (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci Google Cloud integrazioni per Connect e l'osservabilità di Google Cloud.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornisci l'amministrazione di sistema complessiva per GKE sui cluster Azure. Ad esempio, la loro configurazione per il funzionamento nell'ambiente VPC aziendale.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestisci e mantieni l'ambiente Azure, inclusa la configurazione di rete e la connettività a Google Cloud.
Gestire i contratti di assistenza con Azure.
Esegui l'upgrade di GKE su Azure a una versione supportata su base regolare.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano impiegati nei cluster. In assenza di log, l'assistenza è disponibile su una base di miglior impegno.
Fornire a Google i dettagli dell'ambiente (ad esempio la configurazione della VNet di Azure) quando richiesto per la risoluzione dei problemi.
Cluster collegati a GKE Enterprise
Responsabilità di Google
Fornisci un elenco delle versioni e delle distribuzioni Kubernetes supportate.
Comunica agli utenti gli upgrade disponibili per i componenti di GKE Enterprise e genera istruzioni di upgrade per la versione precedente. GKE Enterprise supporta solo gli upgrade sequenziali (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci Google Cloud integrazioni per Connect e l'osservabilità di Google Cloud.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi correlati ai componenti forniti da Google.
Responsabilità del cliente
Fornire una piattaforma Kubernetes moderna che soddisfi le specifiche di Google. La piattaforma include, a titolo esemplificativo, hardware, sistema operativo, server API Kubernetes, configurazione VPC e altri attributi.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestire, mantenere e applicare patch all'infrastruttura, incluse reti, server, archiviazione e connettività a Google Cloud.
Gestisci, mantieni e applica patch a qualsiasi infrastruttura necessaria per l'esecuzione del cluster.
Gestire i contratti di assistenza con terze parti. Ad esempio: networking, orchestrazione dei container, risorse di calcolo e fornitori di servizi di archiviazione.
Esegui l'upgrade di Kubernetes a una versione supportata su base regolare.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Mantieni i tuoi cluster connessi ai servizi Google.
Fornire a Google i dettagli ambientali (ad esempio la configurazione di rete) quando richiesto per la risoluzione dei problemi.
Passaggi successivi
Scopri come Google gestisce l'applicazione delle patch di sicurezza per GKE Enterprise.
Configura Logging e Monitoring per: