Responsabilità condivisa di GKE Enterprise
L'esecuzione di un'applicazione business-critical su GKE Enterprise richiede che più parti assumano responsabilità diverse. Sebbene non sia un elenco esaustivo, questo argomento elenca i ruoli e le responsabilità per ogni opzione di cluster GKE Enterprise sia per Google che per il cliente.
Questa pagina è rivolta ad amministratori, architetti e operatori che gestiscono il ciclo di vita dell'infrastruttura tecnologica di base. Per scoprire di più su i ruoli comuni e sulle attività di esempio a cui facciamo riferimento nei contenuti di Google Cloud , consulta Ruoli e attività comuni per gli utenti di GKE Enterprise.
GKE su Google Cloud
Responsabilità di Google
- Protezione dell'infrastruttura sottostante, inclusi hardware, firmware, kernel, sistema operativo, archiviazione, rete e altro ancora. Sono incluse la crittografia dei dati at-rest per impostazione predefinita, la crittografia aggiuntiva dei dischi gestita dal cliente, la crittografia dei dati in transito, l'utilizzo di hardware progettato su misura, la posa di cavi di rete privati, la protezione dei data center dall'accesso fisico, la protezione del bootloader e del kernel da eventuali modifiche mediante Nodi protetti e il rispetto di pratiche di sviluppo software sicure.
- Ottimizzazione e applicazione di patch al sistema operativo dei nodi, ad esempio Container-Optimized OS o Ubuntu. GKE rende disponibili tempestivamente eventuali patch per queste immagini. Se hai abilitato gli upgrade automatici o utilizzi un canale di rilascio, il deployment di questi aggiornamenti verrà eseguito automaticamente. Si tratta del livello del sistema operativo sotto il tuo container, non è lo stesso del sistema operativo in esecuzione nei tuoi container.
- Creazione e gestione del rilevamento delle minacce per minacce specifiche dei container nel kernel con Container Threat Detection (prezzo separato con Security Command Center).
- Rafforzamento e
applicazione di patch
ai componenti dei nodi Kubernetes. Tutti i componenti gestiti di GKE vengono sottoposti ad upgrade automaticamente quando esegui l'upgrade delle versioni dei nodi GKE. Ad esempio:
- Meccanismo di bootstrap attendibile basato su vTPM per l'emissione di certificati TLS di kubelet e la rotazione automatica dei certificati
- Configurazione di kubelet rafforzata in base ai benchmark CIS
- Server metadati GKE per Workload Identity
- Plug-in Container Network Interface e Calico per NetworkPolicy nativi di GKE
- Integrazioni di archiviazione Kubernetes GKE come il driver CSI
- Agenti di monitoraggio e logging GKE
- Rafforzamento e applicazione di patch al piano di controllo. Il piano di controllo include la VM del piano di controllo, l'API server, lo scheduler, il gestore del controller, l'autorità di certificazione del cluster, l'emissione e la rotazione dei certificati TLS, il materiale della chiave radice della attendibilità, l'autenticatore e l'autorizzatore IAM, la configurazione dei log di controllo, etcd e vari altri controller. Tutti i componenti del piano di controllo vengono eseguiti su istanze Compute Engine gestite da Google. Queste istanze sono monotenant, il che significa che ogni istanza esegue il piano di controllo e i relativi componenti per un solo cliente.
- Fornisci integrazioni di Google Cloud per Connect, Identity and Access Management, Cloud Audit Logs, l'osservabilità di Google Cloud, Cloud Key Management Service, Security Command Center e altri.
- Limita e registra l'accesso amministrativo di Google ai cluster dei clienti per scopi di assistenza contrattuale con Access Transparency.
Responsabilità del cliente
- Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini dei container, i dati, i criteri di IAM/controllo dell'accesso basato su ruoli (RBAC) e i container e i pod in esecuzione.
- Ruota le credenziali dei cluster.
- Registra i cluster per l'upgrade automatico (impostazione predefinita) o esegui l'upgrade dei cluster alle versioni supportate.
- Monitora il cluster e le applicazioni e rispondi ad avvisi e incidenti utilizzando tecnologie come la dashboard della posizione di sicurezza e Google Cloud Observability.
- Fornire a Google i dettagli sull'ambiente, se richiesti, per la risoluzione dei problemi.
- Assicurati che Logging e Monitoring siano attivati sui cluster. In assenza di log, l'assistenza è disponibile al meglio delle possibilità.
Google Distributed Cloud (solo software) su VMware
Responsabilità di Google
Gestisci e distribuisci il pacchetto software Google Distributed Cloud, inclusi Kubernetes, controller vCenter e F5, controller Ingress, agenti Connect, Logging e Monitoring e lo strumento a riga di comando
gkectl.Gestisci e distribuisci le immagini delle macchine della workstation di amministrazione e dei nodi Ubuntu, incluse le patch e le correzioni di sicurezza regolari.
Esegui continuamente la scansione dei componenti con l'API Artifact Analysis e applica patch alle vulnerabilità note.
Invia notifiche agli utenti sugli upgrade disponibili per Google Distributed Cloud e produce script di upgrade per la versione precedente. Google Distributed Cloud su VMware supporta solo gli upgrade sequenziali (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci le integrazioni di Google Cloud per Connect e Google Cloud Observability.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Amministrazione complessiva del sistema per i cluster on-premise.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini dei container, i dati, i criteri di IAM/controllo dell'accesso basato su ruoli (RBAC) e i container e i pod in esecuzione.
Gestire, mantenere e applicare patch all'infrastruttura, incluse reti, server, archiviazione e connettività a Google Cloud.
Gestisci, mantieni e applica patch ai bilanciatori del carico di vSphere e di rete.
Gestisci i contratti di assistenza con VMware e F5 (se implementati).
Esegui l'upgrade di Google Distributed Cloud a una versione supportata sulla base di una pianificazione regolare.
Esegui il deployment e testa i carichi di lavoro sulle immagini macchina dei nodi aggiornate. Esegui il deployment e testa le immagini delle workstation di amministrazione aggiornate nel tuo ambiente. Rivolgiti a Google per eventuali dubbi tramite l'assistenza clienti Google Cloud.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano impiegati nei cluster. In assenza di log, l'assistenza è disponibile al meglio delle possibilità.
Fornire a Google i dettagli ambientali (ad esempio la configurazione di rete) quando richiesto per la risoluzione dei problemi.
Google Distributed Cloud (solo software) su bare metal
Responsabilità di Google
Gestisci e distribuisci il pacchetto software Google Distributed Cloud, inclusi Kubernetes, Ingress Controller, Connect e gli agenti di monitoraggio e logging, nonché lo strumento a riga di comando
bmctl.Analizza continuamente i componenti con l'API Artifact Analysis e applica patch alle vulnerabilità note.
Comunica agli utenti gli upgrade disponibili per Google Distributed Cloud e genera istruzioni di upgrade per la versione precedente. Google Distributed Cloud on bare metal supporta gli upgrade sequenziali tra le versioni minori e le release delle patch (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci le integrazioni di Google Cloud per Connect e Google Cloud Observability.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornisce l'amministrazione complessiva del sistema per i cluster.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestire, mantenere e applicare patch all'infrastruttura, incluse reti, server, archiviazione e connettività a Google Cloud.
Gestire i contratti di assistenza con i fornitori.
Esegui l'upgrade di Google Distributed Cloud a una versione supportata su base regolare.
Esegui il deployment e il test dei carichi di lavoro sulle immagini macchina dei nodi aggiornate. Esegui il deployment e testa le immagini della postazione di lavoro dell'amministratore aggiornate nel tuo ambiente. Rivolgiti a Google per eventuali dubbi tramite l'assistenza clienti Google Cloud.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano impiegati nei cluster. In assenza di log, l'assistenza è disponibile al meglio delle possibilità.
Fornire a Google i dettagli ambientali (ad esempio la configurazione di rete) quando richiesto per la risoluzione dei problemi.
GKE su AWS (multi-cloud)
Responsabilità di Google
Gestisci e distribuisci il pacchetto software GKE su AWS, tra cui Kubernetes, le immagini di base, le funzionalità di integrazione di AWS, il controller Ingress, l'agente Connect e lo strumento a riga di comando
anthos-gke.Analizza continuamente i componenti con l'API Artifact Analysis e applica patch alle vulnerabilità note.
Gestisci e distribuisci le immagini macchina del servizio di gestione, del piano di controllo e del pool di nodi, incluse le patch regolari e le correzioni di sicurezza.
Comunica agli utenti gli upgrade disponibili per GKE su AWS e genera istruzioni di upgrade per la versione precedente. GKE su AWS supporta solo gli upgrade sequenziali (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci le integrazioni di Google Cloud per Connect e Google Cloud Observability.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornisci l'amministrazione di sistema complessiva per i cluster GKE su AWS. Ad esempio, configurarli per il funzionamento nell'ambiente VPC aziendale.
Gestisci i tuoi workload, inclusi il codice dell'applicazione, i file di compilazione, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestisci e mantieni l'ambiente AWS, inclusa la configurazione di rete e la connettività a Google Cloud.
Gestire i contratti di assistenza con AWS.
Esegui l'upgrade di GKE su AWS a una versione supportata su base regolare.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano impiegati nei cluster. In assenza di log, l'assistenza è disponibile al meglio delle possibilità.
Fornire a Google i dettagli dell'ambiente (ad esempio la configurazione della VPC AWS) quando richiesto per la risoluzione dei problemi.
GKE su Azure
Responsabilità di Google
Gestisci e distribuisci il pacchetto software GKE su Azure, inclusi Kubernetes, immagini di base, integrazioni di Azure, il controller Ingress, l'agente Connect e Google Cloud CLI.
Esegui continuamente la scansione dei componenti con l'API Artifact Analysis e applica patch alle vulnerabilità note.
Gestisci e distribuisci le immagini macchina del servizio di gestione, del piano di controllo e del pool di nodi, incluse le patch regolari e le correzioni di sicurezza.
Comunica agli utenti gli upgrade disponibili per GKE su Azure e genera istruzioni di upgrade per la versione precedente. GKE su Azure supporta solo gli upgrade sequenziali (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci le integrazioni di Google Cloud per Connect e Google Cloud Observability.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornisci l'amministrazione di sistema complessiva per GKE sui cluster Azure. Ad esempio, la loro configurazione per il funzionamento nell'ambiente VPC aziendale.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestisci e mantieni l'ambiente Azure, inclusa la configurazione di rete e la connettività a Google Cloud.
Gestire i contratti di assistenza con Azure.
Esegui l'upgrade di GKE su Azure a una versione supportata su base regolare.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano impiegati nei cluster. In assenza di log, l'assistenza è disponibile al meglio delle possibilità.
Fornire a Google i dettagli dell'ambiente (ad esempio la configurazione della VNet di Azure) quando richiesto per la risoluzione dei problemi.
Cluster collegati a GKE Enterprise
Responsabilità di Google
Fornisci un elenco delle versioni e delle distribuzioni Kubernetes supportate.
Comunica agli utenti gli upgrade disponibili per i componenti di GKE Enterprise e genera istruzioni di upgrade per la versione precedente. GKE Enterprise supporta solo gli upgrade sequenziali (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci le integrazioni di Google Cloud per Connect e Google Cloud Observability.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi correlati ai componenti forniti da Google.
Responsabilità del cliente
Fornire una piattaforma Kubernetes moderna che soddisfi le specifiche di Google. La piattaforma include, a titolo esemplificativo, hardware, sistema operativo, server API Kubernetes, configurazione VPC e altri attributi.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestire, mantenere e applicare patch all'infrastruttura, incluse reti, server, archiviazione e connettività a Google Cloud.
Gestisci, mantieni e applica patch a qualsiasi infrastruttura necessaria per l'esecuzione del cluster.
Gestire i contratti di assistenza con terze parti. Ad esempio: networking, orchestrazione dei container, risorse di calcolo e fornitori di servizi di archiviazione.
Esegui l'upgrade di Kubernetes a una versione supportata su base regolare.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Mantieni i tuoi cluster connessi ai servizi Google.
Fornire a Google i dettagli ambientali (ad esempio la configurazione di rete) quando richiesto per la risoluzione dei problemi.
Passaggi successivi
Scopri come Google gestisce l'applicazione delle patch di sicurezza per GKE Enterprise.
Configura Logging e Monitoring per: