Tanggung jawab bersama GKE Enterprise
Menjalankan aplikasi yang penting bagi bisnis di GKE Enterprise mengharuskan banyak pihak untuk memikul tanggung jawab yang berbeda. Meskipun bukan daftar lengkap, topik ini berisi daftar peran dan tanggung jawab setiap produk cluster GKE baik untuk Google maupun pelanggan.
GKE di Google Cloud
Tanggung jawab Google
- Melindungi infrastruktur dasar, termasuk hardware, firmware, kernel, OS, penyimpanan, jaringan, dan lainnya. Hal ini mencakup mengenkripsi data dalam penyimpanan secara default, memberikan enkripsi disk tambahan yang dikelola pelanggan, mengenkripsi data dalam pengiriman, menggunakan hardware yang dirancang khusus, meletakkan kabel jaringan pribadi, melindungi pusat data dari mengakses, melindungi bootloader dan kernel dari modifikasi menggunakan Shielded Node, dan mengikuti praktik pengembangan software yang aman.
- Hardening dan patching sistem operasi node, seperti Container-Optimized OS atau Ubuntu. GKE segera membuat patch apa pun ke image ini. Jika Anda mengaktifkan upgrade otomatis, atau menggunakan saluran rilis, update ini akan otomatis di-deploy. Ini adalah lapisan OS di bawah container Anda. Ini tidak sama dengan sistem operasi yang berjalan di container Anda.
- Membuat dan mengoperasikan deteksi ancaman untuk ancaman khusus container ke dalam kernel dengan Deteksi Ancaman Container (harga terpisah dengan Security Command Center).
- Hardening dan patching komponen node Kubernetes. Semua komponen yang dikelola GKE akan diupgrade secara otomatis saat Anda mengupgrade versi node GKE. Hal ini mencakup:
- Mekanisme bootstrap tepercaya yang didukung vTPM untuk menerbitkan sertifikat TLS kubelet dan rotasi otomatis sertifikat
- Konfigurasi kubelet yang telah melalui proses hardening mengikuti benchmark CIS
- Server metadata GKE untuk Workload identity
- Plugin Container Network Interface dan Calico untuk NetworkPolicy native GKE
- Integrasi penyimpanan Kubernetes GKE seperti driver CSI
- Agen logging dan pemantauan GKE
- Melakukan hardening dan menambal bidang kontrol. Bidang kontrol mencakup VM bidang kontrol, server API, penjadwal, pengelola pengontrol, cluster CA, penerbitan dan rotasi sertifikat TLS, materi kunci root-of-trust, Rotasi CA, enkripsi rahasia, pengautentikasi dan pemberi otorisasi IAM, konfigurasi logging audit, etcd, serta berbagai pengontrol lainnya. Semua komponen bidang kontrol Anda berjalan pada instance Compute Engine yang dioperasikan Google. Instance ini adalah tenant tunggal, yang berarti setiap instance menjalankan bidang kontrol dan komponennya hanya untuk satu pelanggan.
- Menyediakan integrasi Google Cloud untuk Connect, Identity and Access Management, Cloud Audit Logs, Google Cloud Observability, Cloud Key Management Service, Security Command Center, dan lainnya.
- Batasi dan catat akses administratif Google ke cluster pelanggan untuk tujuan dukungan kontrak dengan Transparansi Akses.
Tanggung jawab pelanggan
- Mempertahankan workload Anda, termasuk kode aplikasi, file build, image container, data, Kebijakan kontrol akses berbasis peran (RBAC), IAM, serta container dan pod yang Anda jalankan.
- Mendaftarkan cluster dalam upgrade otomatis (default) atau upgrade cluster ke versi yang didukung.
- Pantau cluster dan aplikasi serta tanggapi pemberitahuan dan insiden menggunakan teknologi seperti dasbor postur keamanan dan Kemampuan Observasi Google Cloud.
- Memberikan detail lingkungan kepada Google saat diminta untuk tujuan pemecahan masalah.
GKE on VMware
Tanggung jawab Google
Mengelola dan mendistribusikan GKE pada paket software VMware termasuk pengontrol Kubernetes, vCenter, dan F5, pengontrol Ingress, agen Connect, Logging, dan Monitoring, serta alat command line
gkectl.Mengelola dan mendistribusikan workstation admin Ubuntu dan image mesin node, termasuk patching dan perbaikan keamanan reguler.
Pindai komponen secara terus-menerus dengan Artifact Analysis API dan patch kerentanan yang diketahui.
Memberi tahu pengguna tentang upgrade yang tersedia untuk GKE di VMware, dan membuat skrip upgrade untuk versi sebelumnya; GKE di VMware hanya mendukung upgrade berurutan (khusus 1.2 → 1.3 → 1.4 dan bukan 1.2 → 1.4).
Menyediakan integrasi Google Cloud untuk Connect dan Kemampuan Observasi Google Cloud.
Pecahkan masalah, berikan solusi, dan perbaiki penyebab utama masalah apa pun terkait komponen yang disediakan Google.
Tanggung jawab pelanggan
Administrasi sistem secara keseluruhan untuk cluster lokal.
Mempertahankan workload Anda, termasuk kode aplikasi, file build, image container, data, Kebijakan kontrol akses berbasis peran (RBAC), IAM, serta container dan pod yang Anda jalankan.
Operasikan, kelola, dan terapkan patch pada infrastruktur, termasuk jaringan, server, penyimpanan, dan konektivitas ke Google Cloud.
Operasikan, kelola, dan terapkan patch vSphere dan load balancer jaringan.
Mempertahankan kontrak dukungan dengan VMware dan F5 (jika di-deploy).
Upgrade GKE di VMware ke versi yang didukung secara rutin.
Deploy dan uji workload Anda pada image mesin node yang diupdate. Deploy dan uji image workstation admin yang diperbarui di lingkungan Anda. Ajukan masalah ke Google melalui Cloud Customer Care.
Pantau cluster dan aplikasi serta tanggapi insiden apa pun.
Pastikan agen Logging dan Monitoring di-deploy ke cluster. Tanpa log, dukungan tersedia dengan upaya terbaik.
Memberikan detail lingkungan (misalnya, konfigurasi jaringan) kepada Google jika diminta untuk tujuan pemecahan masalah.
GKE on Bare Metal
Tanggung jawab Google
Mengelola dan mendistribusikan GKE pada paket software Bare Metal termasuk Kubernetes, pengontrol Ingress, agen Connect dan Logging dan Monitoring, serta alat command line
bmctl.Pindai komponen secara terus-menerus dengan Artifact Analysis API dan patch kerentanan yang diketahui.
Beri tahu pengguna tentang upgrade yang tersedia untuk GKE di Bare Metal, dan buat petunjuk upgrade untuk versi sebelumnya; GKE di Bare Metal mendukung upgrade berurutan antara versi minor dan rilis patch (khusus 1.2 → 1.3 → 1.4 dan bukan 1.2 → 1.4).
Menyediakan integrasi Google Cloud untuk Connect dan Kemampuan Observasi Google Cloud.
Pecahkan masalah, berikan solusi, dan perbaiki penyebab utama masalah apa pun terkait komponen yang disediakan Google.
Tanggung jawab pelanggan
Sediakan administrasi sistem secara keseluruhan untuk cluster.
Pertahankan workload Anda, termasuk kode aplikasi, file build, image container, data, kebijakan RBAC/IAM, serta container dan pod yang Anda jalankan.
Operasikan, kelola, dan terapkan patch pada infrastruktur, termasuk jaringan, server, penyimpanan, dan konektivitas ke Google Cloud.
Mempertahankan kontrak dukungan dengan vendor.
Upgrade GKE di Bare Metal ke versi yang didukung secara rutin.
Deploy dan uji workload Anda pada image mesin node yang diupdate. Deploy dan uji image workstation Admin yang diperbarui di lingkungan Anda. Ajukan masalah ke Google melalui Cloud Customer Care.
Pantau cluster dan aplikasi serta tanggapi insiden apa pun.
Pastikan agen Logging dan Monitoring di-deploy ke cluster. Tanpa log, dukungan tersedia dengan upaya terbaik.
Memberikan detail lingkungan (misalnya, konfigurasi jaringan) kepada Google jika diminta untuk tujuan pemecahan masalah.
GKE pada AWS (multi-cloud)
Tanggung jawab Google
Mengelola dan mendistribusikan paket software GKE pada AWS termasuk Kubernetes, image dasar, fitur integrasi AWS, pengontrol Ingress, agen Connect, dan alat command line
anthos-gke.Pindai komponen secara terus-menerus dengan Artifact Analysis API dan patch kerentanan yang diketahui.
Mempertahankan dan mendistribusikan image mesin layanan pengelolaan, bidang kontrol, dan kumpulan node, termasuk patching rutin dan perbaikan keamanan.
Beri tahu pengguna tentang upgrade yang tersedia untuk GKE di AWS, dan berikan petunjuk upgrade untuk versi sebelumnya. GKE di AWS hanya mendukung upgrade berurutan (hanya 1.2 → 1.3 → 1.4 dan bukan 1.2 → 1.4).
Menyediakan integrasi Google Cloud untuk Connect dan Kemampuan Observasi Google Cloud.
Pecahkan masalah, berikan solusi, dan perbaiki penyebab utama masalah apa pun terkait komponen yang disediakan Google.
Tanggung jawab pelanggan
Menyediakan administrasi sistem secara keseluruhan untuk GKE pada cluster AWS. Misalnya, mengonfigurasinya agar berfungsi dalam lingkungan VPC perusahaan.
Pertahankan workload Anda, termasuk kode aplikasi, file build, image container, data, kebijakan RBAC/IAM, serta container dan pod yang Anda jalankan.
Operasikan dan kelola lingkungan AWS, termasuk konfigurasi jaringan, dan konektivitas ke Google Cloud.
Mempertahankan kontrak dukungan dengan AWS.
Upgrade GKE di AWS ke versi yang didukung secara rutin.
Pantau cluster dan aplikasi serta tanggapi insiden apa pun.
Pastikan agen Logging dan Monitoring di-deploy ke cluster. Tanpa log, dukungan tersedia dengan upaya terbaik.
Berikan detail lingkungan kepada Google (misalnya, konfigurasi VPC AWS) saat diminta untuk tujuan pemecahan masalah.
GKE on Azure
Tanggung jawab Google
Mengelola dan mendistribusikan paket software GKE pada Azure termasuk Kubernetes, image dasar, integrasi Azure, pengontrol Ingress, agen Connect, dan Google Cloud CLI.
Pindai komponen secara terus-menerus dengan Artifact Analysis API dan patch kerentanan yang diketahui.
Mempertahankan dan mendistribusikan image mesin layanan pengelolaan, bidang kontrol, dan kumpulan node, termasuk patching rutin dan perbaikan keamanan.
Beri tahu pengguna tentang upgrade yang tersedia untuk GKE di Azure, dan berikan petunjuk upgrade untuk versi sebelumnya. GKE di Azure hanya mendukung upgrade berurutan (khusus 1.2 → 1.3 → 1.4, bukan 1.2 → 1.4).
Menyediakan integrasi Google Cloud untuk Connect dan Kemampuan Observasi Google Cloud.
Pecahkan masalah, berikan solusi, dan perbaiki penyebab utama masalah apa pun terkait komponen yang disediakan Google.
Tanggung jawab pelanggan
Menyediakan administrasi sistem secara keseluruhan untuk GKE pada cluster Azure. Misalnya, mengonfigurasinya agar berfungsi dalam lingkungan VPC perusahaan.
Pertahankan workload Anda, termasuk kode aplikasi, file build, image container, data, kebijakan RBAC/IAM, serta container dan pod yang Anda jalankan.
Mengoperasikan dan memelihara lingkungan Azure, termasuk konfigurasi jaringan, dan konektivitas ke Google Cloud.
Mempertahankan kontrak dukungan dengan Azure.
Upgrade GKE di Azure ke versi yang didukung secara rutin.
Pantau cluster dan aplikasi serta tanggapi insiden apa pun.
Pastikan agen Logging dan Monitoring di-deploy ke cluster. Tanpa log, dukungan tersedia dengan upaya terbaik.
Berikan detail lingkungan kepada Google (misalnya, konfigurasi Azure VNet) saat diminta untuk tujuan pemecahan masalah.
Cluster terpasang GKE Enterprise
Tanggung jawab Google
Memberikan daftar distribusi dan versi Kubernetes yang didukung.
Beri tahu pengguna tentang upgrade yang tersedia untuk komponen GKE Enterprise, dan berikan petunjuk upgrade untuk versi sebelumnya. GKE Enterprise hanya mendukung upgrade berurutan (khusus 1.2 → 1.3 → 1.4 dan bukan 1.2 → 1.4).
Menyediakan integrasi Google Cloud untuk Connect dan Kemampuan Observasi Google Cloud.
Pemecahan masalah, memberikan solusi, dan memperbaiki akar penyebab masalah apa pun terkait komponen yang disediakan Google.
Tanggung jawab pelanggan
Menyediakan platform Kubernetes modern yang memenuhi spesifikasi Google. Platform ini mencakup, tetapi tidak terbatas pada: hardware, OS, server Kubernetes API, konfigurasi VPC, dan atribut lainnya.
Pertahankan workload Anda, termasuk kode aplikasi, file build, image container, data, kebijakan RBAC/IAM, serta container dan pod yang Anda jalankan.
Operasikan, kelola, dan terapkan patch pada infrastruktur, termasuk jaringan, server, penyimpanan, dan konektivitas ke Google Cloud.
Operasikan, kelola, dan patch infrastruktur apa pun yang diperlukan untuk menjalankan cluster.
Mempertahankan kontrak dukungan dengan pihak ketiga. Misalnya: jaringan, orkestrasi container, resource komputasi, dan vendor penyimpanan.
Upgrade Kubernetes ke versi yang didukung secara rutin.
Pantau cluster dan aplikasi serta tanggapi insiden apa pun.
Pastikan cluster Anda tetap terhubung ke layanan Google.
Memberikan detail lingkungan (misalnya, konfigurasi jaringan) kepada Google jika diminta untuk tujuan pemecahan masalah.
Langkah selanjutnya
Pelajari cara Google menangani Patching keamanan untuk GKE Enterprise.
Mengonfigurasi Logging dan Monitoring di: