Visão geral da segurança

Nesta página, você encontra uma introdução para estabelecer boas práticas de segurança para o Google Distributed Cloud. As orientações nesta página não têm o objetivo de fornecer uma lista abrangente de práticas recomendadas.

O uso de práticas recomendadas de segurança no Google Distributed Cloud envolve a aplicação de conceitos do Kubernetes e do Google Kubernetes Engine (GKE), bem como conceitos exclusivos do Google Distributed Cloud.

Segurança do Kubernetes

Recomendamos que você siga as diretrizes gerais de segurança do Kubernetes ao usar o Google Distributed Cloud.

Para uma introdução às diretrizes de segurança do Kubernetes, consulte a Lista de verificação de segurança e a Visão geral da segurança nativa do Cloud na documentação do Kubernetes.

Segurança do GKE

O Google Distributed Cloud estende o GKE para permitir que você crie clusters do GKE nos seus próprios servidores Linux no local. Para saber mais sobre a segurança do GKE, consulte a visão geral de segurança do GKE. Como você está lendo, tenha em mente que, como seu plano de controle e os nós são executados no local, as sugestões para segurança do plano de controle e segurança do nó não se aplicam.

Segurança do Google Distributed Cloud

As seções a seguir fornecem orientações para estabelecer boas práticas de segurança para o Google Distributed Cloud.

Segurança de hardware

• Proteja seus data centers locais com recursos de segurança física e proteção padrão do setor.

• Certifique-se de que o acesso à estação de trabalho do administrador seja altamente restrito. A estação de trabalho do administrador armazena dados confidenciais, como arquivos kubeconfig, chaves SSH e chaves da conta de serviço.

Segurança de nós

• Atualize seu pacote de software e instale patches de segurança para manter seu sistema operacional atualizado.

• Para ter mais controle sobre os envios de imagem de carga de trabalho e os benefícios de segurança relacionados, configure os nós de trabalho para autenticação em um registro particular. O suporte a registros particulares para nós está disponível na Pré-lançamento para clusters da versão 1.29.

• Por padrão, o Google Distributed Cloud adiciona o repositório apt do Docker e a chave GPG necessária aos nós do cluster. Como alternativa à adição de repositórios de pacotes a cada nó de cluster na implantação, é possível configurar o cluster para usar um repositório de pacotes privado para imagens de contêineres.

Segurança do cluster

• Aumente a segurança dos seus clusters do Google Distributed Cloud.

• Isole seu tráfego e dados usando uma implantação de cluster de administrador e usuário. Esse tipo de implantação ajuda a conseguir os seguintes tipos de isolamento:

  • O tráfego da carga de trabalho é isolado do tráfego administrativo ou do plano de gerenciamento.
  • O acesso ao cluster é isolado por grupo ou papel.
  • As cargas de trabalho de produção são isoladas das cargas de trabalho de desenvolvimento.

• Faça upgrade dos clusters para uma versão compatível. O uso de uma versão compatível oferece os seguintes benefícios de segurança:

  • Correções de vulnerabilidades de segurança.
  • Novos recursos e funções que aproveitam as tecnologias e a postura de segurança mais recentes.
  • Atualizações para pacotes de software e componentes.

• Para reduzir a exposição externa e outros benefícios de segurança, é possível configurar um espelho de registro para instalar componentes do Google Distributed Cloud em uma cópia local do registro público.

Segurança de cargas de trabalho

• Proteja seus contêineres usando o Security-Enhanced Linux (SELinux).

• Proteja suas cargas de trabalho com autorização binária. A autorização binária é um serviço do Google Cloud que fornece segurança de cadeia de fornecimento de software para aplicativos executados na nuvem. Com a autorização binária, é possível garantir que os processos internos que protegem a qualidade e a integridade do software sejam concluídos com êxito antes que um aplicativo seja implantado em seu ambiente de produção.

• Use a federação de identidade da carga de trabalho para GKE para conceder aos pods acesso aos recursos do Google Cloud. A federação de identidade da carga de trabalho para GKE permite que uma conta de serviço do Kubernetes seja executada como uma conta de serviço do IAM. Os pods executados como conta de serviço do Kubernetes têm as permissões da conta de serviço do IAM.

• Siga as práticas recomendadas para o RBAC do GKE.

Segurança de rede

• Escolha uma conexão segura entre o Google Distributed Cloud e o Google Cloud. Depois que a conexão básica estiver em vigor, adicione recursos para aumentar a segurança.

• Limite a exposição dos clusters à Internet pública instalando-os por trás de um proxy e criando regras de firewall. Use também os controles apropriados no ambiente de rede para limitar o acesso público ao cluster.

Segurança da autenticação

• Gerencie a identidade com o serviço de identidade do GKE. O Serviço de identidade do GKE é um serviço de autenticação que permite levar as soluções de identidade atuais para autenticação em vários ambientes da edição Enterprise do Google Kubernetes Engine (GKE). Você pode fazer login e usar os clusters da Google Distributed Cloud pela linha de comando (todos os provedores) ou pelo Console do Google Cloud (somente OIDC), usando seu provedor de identidade atual.

• Conecte-se a clusters registrados com o gateway do Connect. O gateway do Connect se baseia no poder das frotas para permitir que os usuários do GKE se conectem e executem comandos nos clusters registrados do GKE de maneira simples, consistente e segura.

Segurança de credenciais

• Rotacionar autoridades certificadoras O Google Distributed Cloud usa certificados e chaves privadas para autenticar e criptografar conexões entre componentes do sistema em clusters. Para manter a comunicação segura no cluster, rotacione as autoridades certificadoras do cluster de usuário periodicamente e sempre que houver uma possível violação de segurança.

• Alterne as chaves da conta de serviço. Para reduzir o risco de segurança causado por chaves vazadas, recomendamos alternar as chaves regularmente.

Monitoramento da sua segurança

• Use a geração de registros de auditoria do Kubernetes. Com a geração de registros de auditoria, os administradores podem reter, consultar, processar e alertar sobre eventos que ocorrem nos seus respectivos ambientes do Google Distributed Cloud.

Para mais informações sobre como monitorar a segurança do cluster, consulte Monitorar a postura de segurança da frota.