Como usar os nós protegidos do GKE

Nesta página, mostramos como usar o recurso Nós protegidos do GKE. Os nós protegidos do GKE oferecem integridade e identidade forte e verificável de nós para aumentar a segurança dos nós do GKE.

Sobre nós protegidos do GKE

Os nós protegidos do GKE são criados com base nas VMs protegidas do Compute Engine. Sem os nós protegidos do GKE, um invasor pode explorar uma vulnerabilidade em um pod para exfiltrar credenciais de bootstrap e falsificar nós no cluster, dando aos invasores acesso a secrets do cluster. Quando os nós protegidos do GKE são ativados, o plano de controle do GKE verifica criptograficamente que:

  • Cada nó no cluster é uma máquina virtual em execução no data center do Google.
  • Cada nó faz parte do grupo de instâncias gerenciadas provisionadas para o cluster.
  • Um certificado está sendo provisionado para o kubelet para o nó em que ele está sendo executado.

Isso limita a capacidade de um invasor de falsificar um nó em seu cluster, mesmo que seja possível exfiltrar credenciais de bootstrap do nó.

Opcionalmente, é possível configurar verificações de integridade de nós em pools de nós para fornecer proteção aprimorada de rootkit e bootkit. Essas configurações do pool de nós são independentes dos nós protegidos do GKE e funcionarão mesmo se esses nós estiverem desativados no cluster.

Para mais informações, consulte a documentação da VM protegida.

Não há custo extra para executar nós protegidos do GKE. No entanto, eles geram cerca de 0,5 KB a mais de registros na inicialização do que os nós padrão. Para mais detalhes, consulte a página de preços do Cloud Logging.

Disponibilidade

  • Os nós protegidos do GKE estão disponíveis no GKE 1.13.6-gke.0 e superior.
  • Os nós protegidos do GKE estão disponíveis em todas as zonas e regiões.
  • Os nós protegidos do GKE podem ser usados com imagens de nós do Container-Optmized OS (COS), COS com containerd e Ubuntu.
  • Os nós protegidos do GKE podem ser usados com GPUs.

Antes de começar

Antes de começar, verifique se você realizou as tarefas a seguir:

Defina as configurações padrão da gcloud usando um dos métodos a seguir:

  • Use gcloud init se quiser orientações para definir os padrões.
  • Use gcloud config para definir individualmente a região, a zona e o ID do projeto.

Como usar o gcloud init

Se você receber o erro One of [--zone, --region] must be supplied: Please specify location, conclua esta seção.

  1. Execute gcloud init e siga as instruções:

    gcloud init

    Se você estiver usando SSH em um servidor remoto, utilize a sinalização --console-only para impedir que o comando inicie um navegador:

    gcloud init --console-only
  2. Siga as instruções para autorizar a gcloud a usar sua conta do Google Cloud.
  3. Crie uma nova configuração ou selecione uma atual.
  4. Escolha um projeto do Google Cloud.
  5. Escolha uma zona padrão do Compute Engine.

Como usar o gcloud config

  • Defina o ID do projeto padrão:
    gcloud config set project project-id
  • Se você estiver trabalhando com clusters zonais, defina a zona do Compute padrão:
    gcloud config set compute/zone compute-zone
  • Se você estiver trabalhando com clusters regionais, defina a região do Compute padrão:
    gcloud config set compute/region compute-region
  • Atualize gcloud para a versão mais recente:
    gcloud components update

Como ativar nós protegidos do GKE em um novo cluster

É possível criar um novo cluster com os nós protegidos do GKE ativados usando a ferramenta gcloud ou o Console do Google Cloud.

gcloud

Ao criar um novo cluster, especifique a opção --enable-shielded-nodes:

gcloud container clusters create cluster-name --enable-shielded-nodes

Console

  1. Acesse o menu do Google Kubernetes Engine no Console do Cloud.

    Acessar o menu do Google Kubernetes Engine

  2. Clique no botão Criar cluster.

  3. No painel de navegação, em Cluster, clique em Segurança.

  4. Marque a caixa de seleção Ativar os nós protegidos do GKE.

  5. Configure o cluster como quiser.

  6. Clique em Criar.

Consulte Como criar um cluster para mais detalhes sobre a criação de clusters.

Como ativar nós protegidos do GKE em um cluster atual

É possível ativar os nós protegidos do GKE em um cluster atual usando a ferramenta de linha de comando gcloud ou o Console do Google Cloud.

Depois de ativar os nós protegidos do GKE, o plano de controle e os nós são recriados como VMs protegidas. O plano de controle não fica disponível enquanto está sendo recriado. Os nós do cluster são recriados de maneira contínua para minimizar a inatividade.

gcloud

Ao atualizar o cluster, especifique a opção --enable-shielded-nodes:

gcloud container clusters update cluster-name --enable-shielded-nodes

console

  1. Acesse o menu do Google Kubernetes Engine no Console do Cloud.

    Acessar o menu do Google Kubernetes Engine

  2. Clique no botão "Editar" do cluster, que se parece com um lápis.

  3. Na lista suspensa Nós protegidos do GKE, selecione Ativado.

Como verificar se os nós protegidos do GKE estão ativados

Você consegue verificar se o cluster está usando nós protegidos do GKE por meio da ferramenta de linha de comando gcloud ou do Console do Google Cloud.

gcloud

Descreva o cluster:

gcloud container clusters describe cluster-name

Se os nós protegidos do GKE estiverem ativados, a saída do comando incluirá estas linhas:

shieldedNodes:
  enabled: true

Console

  1. Navegue até a guia de detalhes do cluster clicando no nome dele na lista de clusters do projeto.
  2. Na lista de detalhes, verifique se os nós protegidos do GKE estão ativados.

Também é possível monitorar a integridade das VMs protegidas subjacentes dos nós. Veja o procedimento em Como monitorar a integridade em instâncias de VM protegida.

Como desativar os nós protegidos do GKE

É possível desativar os nós protegidos do GKE usando a ferramenta de linha de comando gcloud ou o Console do Google Cloud.

gcloud

Ao atualizar o cluster, especifique a opção --no-enable-shielded-nodes:

gcloud container clusters update cluster-name --no-enable-shielded-nodes

Console

  1. Acesse o menu do Google Kubernetes Engine no Console do Cloud.

    Acessar o menu do Google Kubernetes Engine

  2. Clique no botão de edição do cluster, que tem a forma de um lápis.

  3. Na lista suspensa Nós protegidos do GKE, selecione Desativado.

Depois de desativar os nós protegidos do GKE, o plano de controle e os nós são recriados como VMs comuns não protegidas. O plano de controle não fica disponível enquanto está sendo recriado. Os nós do cluster são recriados de maneira contínua para minimizar a inatividade.

Integridade de nós

Inicialização segura e monitoramento de integridade são configurações de pool de nós que podem ser usadas com os nós protegidos do GKE. Os nós do GKE protegidos, a inicialização segura e o monitoramento de integridade são recursos independentes ativados ou desativados individualmente.

Inicialização segura

Por padrão, a Inicialização segura é uma configuração de pool de nós desativada no GKE, já que os módulos de kernel não assinados de terceiros não podem ser carregados quando ela está ativada.

Se você não usar módulos de kernel não assinados de terceiros, poderá ativar a Inicialização segura usando a ferramenta de linha de comando gcloud ou o Console do Google Cloud.

gcloud

Para ativar a Inicialização segura ao criar um cluster:

gcloud container cluster create cluster-name --shielded-secure-boot

Para ativar a inicialização segura ao criar um pool de nós:

gcloud container node-pool create pool-name --shielded-secure-boot

A Inicialização segura está desativada por padrão. Desative-a explicitamente ao criar um cluster ou pool de nós com a opção --no-shielded-secure-boot.

Console

Para ativar a inicialização segura ao criar um pool de nós:

  1. Navegue até a página de detalhes do cluster.
  2. Na parte superior da página, clique em Adicionar pool de nós.
  3. Na seção "Opções protegidas", marque a caixa de seleção Inicialização segura.

Monitoramento de integridade

O monitoramento de integridade é uma configuração de pool de nós ativada por padrão no GKE. É possível desativar o monitoramento de integridade usando a ferramenta de linha de comando gcloud ou o Console do Google Cloud.

gcloud

Para desativar o monitoramento de integridade de componentes do sistema ao criar um cluster:

gcloud container cluster create cluster-name --no-shielded-integrity-monitoring

Para desativar o monitoramento de integridade de componentes do sistema ao criar um pool de nós:

gcloud container node-pool create pool-name --no-shielded-integrity-monitoring

O monitoramento de integridade é ativado por padrão. É possível ativá-lo explicitamente ao criar um cluster ou pool de nós com a opção --shielded-integrity-monitoring.

Console

Para desativar o monitoramento de integridade ao criar um pool de nós:

  1. Navegue até a página de detalhes do cluster.
  2. Na parte superior da página, clique em Adicionar pool de nós.
  3. Na seção "Opções protegidas", desmarque a caixa de seleção Monitoramento de integridade.

A seguir