Responsabilidade compartilhada do GKE Enterprise

A execução de um aplicativo essencial para os negócios no GKE Enterprise exige que várias partes tenham responsabilidades diferentes. Embora não seja uma lista completa, este tópico lista os papéis e as responsabilidades de cada produto de clusters do GKE para o Google e o cliente.

GKE no Google Cloud

Responsabilidades do Google

Proteger a infraestrutura subjacente, incluindo hardware, firmware, kernel, SO, armazenamento, rede e outros. Isso inclui criptografar dados em repouso por padrão, fornecer criptografia extra de disco gerenciada pelo cliente, fornecer criptografia de dados em trânsito usando hardware personalizado, colocar cabos de rede particular, proteger os data centers contra o acesso físico, proteger o carregador de inicialização e o kernel contra modificação usando nós protegidos e seguir as práticas de desenvolvimento de software seguras
Aumentar a proteção e aplicar patches no sistema operacional dos nós, como o Container-Optimized OS ou Ubuntu. O GKE disponibiliza todos os patches dessas imagens. Se o upgrade automático estiver ativado ou se você estiver usando um canal de lançamento, essas atualizações serão implantadas automaticamente. Essa é a camada de SO abaixo de seu contêiner, não é a mesma do sistema operacional em execução nos seus contêineres
Criar e operar a detecção de ameaças específicas do contêiner no kernel com o Container Threat Detection (cobrado separadamente pelo Security Command Center)
Aumentar a proteção e aplicar patches em componentes do nó do Kubernetes. Todos os componentes gerenciados do GKE são atualizados automaticamente quando você faz upgrade das versões de nós do GKE. Isso inclui o seguinte:
- Mecanismo de inicialização confiável compatível com vTPM para emitir certificados TLS do kubelet e rotação automática dos certificados
- Configuração do kubelet com mais proteção seguindo comparativos de mercado CIS
- Servidor de metadados do GKE para identidade da carga de trabalho
- Plug-in nativo da interface de rede do contêiner e Calico para NetworkPolicy do GKE
- Integrações de armazenamento do Kubernetes no GKE, como o driver CSI
- Agentes de geração de registros e monitoramento do GKE
Aumento da segurança e aplicação de patches no plano de controle. O plano de controle inclui a VM do plano de controle, o servidor de API, o programador, o gerenciador do controlador, a AC do cluster, a emissão e a rotação do certificado TLS, o material da chave raiz da confiança, o autenticador e o autorizador do IAM, a configuração de geração de registros de auditoria, etcd e vários outros controladores. Todos os componentes do seu plano de controle são executados em instâncias do Compute Engine operadas pelo Google. Essas instâncias são locatário individual, o que significa que cada instância executa o plano de controle e os componentes dele para apenas um cliente
Fornecer integrações do Google Cloud para Connect, Identity and Access Management, Registros de auditoria do Cloud, Google Cloud Observability, Cloud Key Management Service, Security Command Center e outros.
Restringir e registrar o acesso administrativo do Google aos clusters de clientes para fins de suporte contratual com a Transparência no acesso

Responsabilidades do cliente

Manter as cargas de trabalho, incluindo o código do aplicativo, os arquivos de build, as imagens de contêiner, os dados, a política de IAM/controle de acesso baseado em papéis (RBAC, na sigla em inglês) e os contêineres e pods que você está executando
Rotacionar as credenciais dos clusters.
Inscrever clusters no upgrade automático (padrão) ou fazer upgrade dos clusters para as versões compatíveis
Monitore o cluster e os aplicativos e responda a alertas e incidentes usando tecnologias como o painel de postura de segurança e a Google Cloud Observability.
Fornecer ao Google detalhes ambientais quando solicitado para a solução de problemas

GKE no VMware

Responsabilidades do Google

Manter e distribuir o pacote de software do GKE no VMware, incluindo controladores do Kubernetes, vCenter e F5, o controlador de entrada, agentes do Connect, do Logging e do Monitoring e a ferramenta de linha de comando gkectl
Manter e distribuir as imagens de máquina de nó e de estação de trabalho do Ubuntu, incluindo correções de segurança e patches regulares
Verificar continuamente os componentes com a Artifact Analysis API e corrigir vulnerabilidades conhecidas.
Notificar aos usuários sobre upgrades disponíveis para o GKE no VMware e produzir scripts de upgrade para a versão anterior. O GKE no VMware só é compatível com upgrades sequenciais (somente 1.2 → 1.3 → 1.4, e não 1.2 → 1.4).
Fornecer integrações do Google Cloud para o Connect e a observabilidade do Google Cloud.
Solucionar problemas, fornecer soluções alternativas e corrigir a causa raiz de qualquer problema relacionado aos componentes fornecidos pelo Google

Responsabilidades do cliente

Cuidar da administração geral do sistema para clusters no local
Manter as cargas de trabalho, incluindo o código do aplicativo, os arquivos de build, as imagens de contêiner, os dados, a política de IAM/controle de acesso baseado em papéis (RBAC, na sigla em inglês) e os contêineres e pods que você está executando
Operar, dar manutenção e corrigir a infraestrutura, incluindo redes, servidores, armazenamento e conectividade com o Google Cloud
Opera, mantém e corrige balanceadores de carga de rede e vSphere.
Manter contratos de suporte com VMware e F5 (se implantados)
Fazer upgrade do GKE no VMware para uma versão compatível regularmente.
Implantar e testar as cargas de trabalho em imagens de máquina do nó atualizadas. Implantar e testar as imagens atualizadas da estação de trabalho do administrador no ambiente. Notificar preocupações ao Google usando o Cloud Customer Care
Monitorar clusters e aplicativos e responder a incidentes
Garantir que os agentes do Logging e do Monitoring sejam implantados nos clusters. Sem registros, o suporte é disponibilizado da melhor maneira possível
Fornecer ao Google detalhes ambientais (por exemplo, configuração de rede) quando solicitado para solucionar problemas

GKE em bare metal

Responsabilidades do Google

Manter e distribuir os clusters do GKE em Bare Metal no pacote de software bare metal, incluindo o Kubernetes, o controlador de entrada, os agentes do Connect, do Logging e do Monitoring, e a ferramenta de linha de comando bmctl
Verificar continuamente os componentes com a Artifact Analysis API e corrigir vulnerabilidades conhecidas.
Notificar os usuários sobre os upgrades disponíveis para GKE em Bare Metal e produzir instruções de upgrade para a versão anterior (o GKE em Bare Metal é compatível com upgrades sequenciais entre versões secundárias e versões de patch, ou seja, 1,2 → 1,3 → 1,4, e não 1,2 → 1,4)
Fornecer integrações do Google Cloud para o Connect e a observabilidade do Google Cloud.
Solucionar problemas, fornecer soluções alternativas e corrigir a causa raiz de qualquer problema relacionado aos componentes fornecidos pelo Google

Responsabilidades do cliente

Fornecer administração geral do sistema para clusters
Manter as cargas de trabalho, incluindo o código do aplicativo, arquivos de build, imagens de contêiner, dados, a política de permissão do IAM/controle de acesso baseado em papéis (RBAC, na sigla em inglês) e os contêineres e pods que estiver executando
Operar, dar manutenção e corrigir a infraestrutura, incluindo redes, servidores, armazenamento e conectividade com o Google Cloud
Manter contratos de suporte com os fornecedores
Faça upgrade do GKE em Bare Metal para uma versão compatível regularmente.
Implantar e testar as cargas de trabalho em imagens de máquina do nó atualizadas. Implantar e testar as imagens atualizadas da estação de trabalho do administrador no ambiente. Notificar preocupações ao Google usando o Cloud Customer Care
Monitorar clusters e aplicativos e responder a incidentes
Garantir que os agentes do Logging e do Monitoring sejam implantados nos clusters. Sem registros, o suporte é disponibilizado da melhor maneira possível
Fornecer ao Google detalhes ambientais (por exemplo, configuração de rede) quando solicitado para solucionar problemas

GKE na AWS (várias nuvens)

Responsabilidades do Google

Mantenha e distribua o pacote de software do GKE na AWS, incluindo o Kubernetes, imagens de base, os recursos de integração da AWS, o controlador de entrada, o agente Connect e a ferramenta de linha de comando anthos-gke.
Verificar continuamente os componentes com a Artifact Analysis API e corrigir vulnerabilidades conhecidas.
Manter e distribuir o serviço de gerenciamento, o plano de controle e as imagens de máquina do pool de nós, incluindo correções de segurança e patches regulares
Notificar usuários de upgrades disponíveis para o GKE na AWS e produzir instruções de upgrade para a versão anterior. O GKE na AWS é compatível apenas com upgrades sequenciais (1.2 → 1.3 → 1.4 apenas e não 1.2 → 1.4).
Fornecer integrações do Google Cloud para o Connect e a observabilidade do Google Cloud.
Solucionar problemas, fornecer soluções alternativas e corrigir a causa raiz de qualquer problema relacionado aos componentes fornecidos pelo Google

Responsabilidades do cliente

Fornece administração geral do sistema para clusters do GKE na AWS. Por exemplo, configurá-los para funcionar no ambiente VPC corporativo
Manter as cargas de trabalho, incluindo o código do aplicativo, arquivos de build, imagens de contêiner, dados, a política de permissão de IAM/controle de acesso baseado em papéis (RBAC, na sigla em inglês) e os contêineres e pods que estiver executando
Operar e dar manutenção no ambiente da AWS, incluindo a configuração da rede e a conectividade com o Google Cloud
Manter contratos de suporte com a AWS.
Fazer upgrade do GKE na AWS para uma versão compatível regularmente.
Monitorar clusters e aplicativos e responder a incidentes
Garantir que os agentes do Logging e do Monitoring sejam implantados nos clusters. Sem registros, o suporte é disponibilizado da melhor maneira possível
Fornecer ao Google detalhes ambientais (por exemplo, configuração de VPC da AWS) quando solicitado para solucionar problemas

GKE no Azure

Responsabilidades do Google

Manter e distribuir o pacote de software do GKE no Azure, incluindo Kubernetes, imagens de base, integrações do Azure, controlador Ingress, agente Connect e a CLI do Google Cloud.
Verificar continuamente os componentes com a Artifact Analysis API e corrigir vulnerabilidades conhecidas.
Manter e distribuir o serviço de gerenciamento, o plano de controle e as imagens de máquina do pool de nós, incluindo correções de segurança e patches regulares
Notificar usuários de upgrades disponíveis para o GKE no Azure e produzir instruções de upgrade para a versão anterior. O GKE no Azure é compatível apenas com upgrades sequenciais (1.2 → 1.3 → 1.4 apenas e não 1.2 → 1.4).
Fornecer integrações do Google Cloud para o Connect e a observabilidade do Google Cloud.
Solucionar problemas, fornecer soluções alternativas e corrigir a causa raiz de qualquer problema relacionado aos componentes fornecidos pelo Google

Responsabilidades do cliente

Fornece administração geral do sistema para clusters do GKE no Azure. Por exemplo, configurá-los para funcionar no ambiente VPC corporativo.
Manter as cargas de trabalho, incluindo o código do aplicativo, arquivos de build, imagens de contêiner, dados, a política de permissão do IAM/controle de acesso baseado em papéis (RBAC, na sigla em inglês) e os contêineres e pods que estiver executando
Operar e dar manutenção no ambiente do Azure, incluindo a configuração da rede e a conectividade com o Google Cloud.
Mantenha contratos de suporte com o Azure.
Fazer upgrade do GKE no Azure para uma versão compatível regularmente.
Monitorar clusters e aplicativos e responder a incidentes
Garantir que os agentes do Logging e do Monitoring sejam implantados nos clusters. Sem registros, o suporte é disponibilizado da melhor maneira possível
Fornecer ao Google detalhes ambientais (por exemplo, configuração da VNet do Azure) quando solicitado para fins de solução de problemas.

Clusters anexados do GKE Enterprise

Responsabilidades do Google

Forneça uma lista de distribuições e versões compatíveis do Kubernetes.
Notificar os usuários sobre upgrades disponíveis para componentes do GKE Enterprise e fornecer instruções de upgrade para a versão anterior. O GKE Enterprise é compatível apenas com upgrades sequenciais (1.2 → 1.3 → 1.4 apenas e não 1.2 → 1.4).
Fornecer integrações do Google Cloud para o Connect e a observabilidade do Google Cloud.
Solucionar problemas, fornecer alternativas e corrigir a causa raiz dos problemas relacionados aos componentes fornecidos pelo Google

Responsabilidades do cliente

Forneça uma plataforma moderna do Kubernetes que atenda às especificações do Google. A plataforma inclui, entre outros: hardware, SO, servidor da API Kubernetes, configuração da VPC e outros atributos
Manter as cargas de trabalho, incluindo o código do aplicativo, arquivos de build, imagens de contêiner, dados, a política de permissão do IAM/controle de acesso baseado em papéis (RBAC, na sigla em inglês) e os contêineres e pods que estiver executando
Operar, dar manutenção e corrigir a infraestrutura, incluindo redes, servidores, armazenamento e conectividade com o Google Cloud
Operar, dar manutenção e corrigir qualquer infraestrutura necessária para executar o cluster
Manter contratos de suporte com terceiros. Por exemplo: rede, orquestração de contêineres, recursos de computação e fornecedores de armazenamento
Fazer upgrade do Kubernetes para uma versão compatível regularmente
Monitorar clusters e aplicativos e responder a incidentes
Manter os clusters conectados aos serviços do Google
Fornecer ao Google detalhes ambientais (por exemplo, configuração de rede) quando solicitado para solucionar problemas

A seguir

Saiba como o Google gerencia os patches de segurança para o GKE Enterprise.
Configure o Logging e o Monitoring em: