Auf dieser Seite werden die geteilten Sicherheitsverpflichtungen für Google undGoogle Cloud -Kunden erläutert. Für das Ausführen geschäftskritischer Anwendungen in der Google Kubernetes Engine (GKE) müssen mehrere Parteien unterschiedliche Verantwortlichkeiten übernehmen. Auf dieser Seite werden die Verantwortlichkeiten aufgeführt, die Google und dem Kunden obliegen. Die Liste ist jedoch nicht vollständig.
Dieses Dokument richtet sich an Sicherheitsexperten, die Richtlinien und Verfahren definieren, verwalten und implementieren, um die Daten einer Organisation vor unbefugtem Zugriff zu schützen. Weitere Informationen zu gängigen Rollen und Beispielaufgaben, auf die wir in unseren Inhalten verweisen, finden Sie unter Häufig verwendete GKE Enterprise-Nutzerrollen und -Aufgaben. Google Cloud
Verantwortlichkeiten von Google
- Schutz der zugrunde liegenden Infrastruktur, einschließlich Hardware, Firmware, Kernel, Betriebssystem, Speicher, Netzwerk und mehr. Dazu gehören die standardmäßige Verschlüsselung inaktiver Daten, die Bereitstellung einer zusätzlichen vom Kunden verwalteten Laufwerkverschlüsselung, die Verschlüsselung von Daten bei der Übertragung mithilfe eigens entwickelter Hardware, das Verlegen privater Netzwerkkabel, der Schutz von Rechenzentren vor physischem Zugriff, der Schutz des Bootloader und Kernel vor Änderungen mithilfe von Shielded-Knoten und die Einhaltung von Best Practices für die sichere Softwareentwicklung.
- Härtung und Patchen des Betriebssystems der Knoten, z. B. Container-Optimized OS oder Ubuntu GKE stellt umgehend alle Patches für diese Images zur Verfügung. Wenn Sie das automatische Upgrade aktiviert haben oder eine Release-Version verwenden, werden diese Updates automatisch bereitgestellt. Dies ist die Basisebene des Containers. Sie ist nicht mit dem Betriebssystem identisch, das in den Containern ausgeführt wird.
- Erstellen und Nutzen von Bedrohungserkennung für Container-spezifische Bedrohungen im Kernel mit Container Threat Detection (wird separat mit Security Command Center abgerechnet).
- Kubernetes-Knotenkomponenten härten und patchen. Für alle von GKE verwalteten Komponenten wird beim Upgrade der GKE-Knotenversionen automatisch ein Upgrade ausgeführt. Dazu zählen:
- vTPM-gestützter Bootstrapping-Mechanismus zur Ausgabe von Kubelet-TLS-Zertifikaten und automatische Rotation der Zertifikate
- Gehärtete Kubelet-Konfiguration entsprechend den CIS-Benchmarks
- GKE-Metadatenserver für Workload Identity
- Natives Container Network Interface-Plug-in und Calico for NetworkPolicy von GKE
- Integration von GKE-Kubernetes-Speichern wie den CSI-Treiber
- GKE-Logging- und -Monitoring-Agents
- Härten und Patchen der Steuerungsebene. Die Steuerungsebene umfasst die VM der Steuerungsebene, den API-Server, den Planer, den Controller-Manager, die Clusterzertifizierungsstelle, die Ausgabe und Rotation von TLS-Zertifikaten, Root-of-Trust-Schlüsselmaterial, CA-Rotation, Secret-Verschlüsselung, IAM-Authentifizierung und -Autorisierung, Audit-Logging-Konfiguration, etcd und verschiedene andere Controller. Alle Komponenten der Steuerungsebene werden auf von Google verwalteten Compute Engine-Instanzen ausgeführt. Diese Instanzen sind ein einzelner Mandant. Das bedeutet, dass jede Instanz die Steuerungsebene und ihre Komponenten für nur einen Kunden ausführt.
- Stellen Sie Google Cloud Integrationen für Connect, Identity and Access Management, Cloud Audit Logs, Google Cloud Observability, Cloud Key Management Service, Security Command Center und andere zur Verfügung.
- Beschränken und Protokollieren des administrativen Zugriffs von Google auf Kundencluster mit Access Transparency für vertragliche Supportzwecke.
Verantwortlichkeiten des Kunden
- Verwalten der Arbeitslasten, einschließlich des Anwendungscodes, der Build-Dateien, Container-Images, Daten, der rollenbasierten Zugriffssteuerung (Role-Based Access Control, RBAC)/IAM und der Container und Pods, die Sie ausführen.
- Anmeldedaten des Clusters rotieren.
- Registrieren von Clustern für automatische Upgrades (Standard) oder Upgrade von Clustern auf unterstützte Versionen.
- Überwachen des Clusters und der Anwendungen und Reaktion auf Warnungen und Vorfälle mit Technologien wie dem Sicherheitsstatus-Dashboard und Google Cloud Observability.
- Google auf Anfrage Details zur Umgebung zur Verfügung stellen, damit Probleme behoben werden können.
- Logging und Monitoring müssen auf Clustern aktiviert sein. Ohne Logs ist der Support auf Best-Effort-Basis verfügbar.
Nächste Schritte
- GKE-Sicherheitsübersicht lesen