Responsabilità condivisa di GKE Enterprise
L'esecuzione di un'applicazione business-critical su GKE Enterprise richiede che più parti assumano responsabilità diverse. Sebbene non si tratti di un elenco esaustivo, in questo argomento sono elencati i ruoli e le responsabilità per ciascuna opzione dei cluster GKE Enterprise sia per Google che per il cliente.
Questa pagina è rivolta agli amministratori, agli architetti e agli operatori che gestire il ciclo di vita dell'infrastruttura tecnica sottostante. Per scoprire di più sui ruoli comuni e sulle attività di esempio a cui facciamo riferimento nei contenuti di Google Cloud, consulta Ruoli e attività comuni degli utenti di GKE Enterprise.
GKE su Google Cloud
Responsabilità di Google
- Protezione dell'infrastruttura sottostante, inclusi hardware, firmware kernel, sistema operativo, archiviazione, rete e altro ancora. Sono incluse la crittografia dei dati at-rest per impostazione predefinita, la crittografia aggiuntiva dei dischi gestita dal cliente, la crittografia dei dati in transito, l'utilizzo di hardware progettato su misura, la posa di cavi di rete privati, la protezione dei data center dall'accesso fisico, la protezione del bootloader e del kernel da eventuali modifiche mediante nodi protetti e il rispetto di pratiche di sviluppo software sicure.
- Ottimizzazione e applicazione di patch al sistema operativo dei nodi, ad esempio Container-Optimized OS o Ubuntu. GKE applica tempestivamente le patch a queste immagini disponibili. Se hai attivato gli upgrade automatici o utilizzi una canale di rilascio, il deployment di questi aggiornamenti viene eseguito automaticamente. Questo è il livello del sistema operativo sottostante del tuo container, non è uguale al sistema operativo in esecuzione containerizzati.
- Creazione e gestione del rilevamento delle minacce per minacce specifiche dei container nel kernel con Container Threat Detection (prezzo separato con Security Command Center).
- Rafforzamento
applicazione di patch
componenti dei nodi di Kubernetes. Tutti i componenti gestiti di GKE vengono sottoposti ad upgrade automaticamente quando esegui l'upgrade delle versioni dei nodi GKE. Sono inclusi:
- Meccanismo di bootstrap attendibile basato su vTPM per l'emissione di certificati TLS di kubelet e la rotazione automatica dei certificati
- Configurazione rafforzata di kubelet in base ai benchmark CIS
- Server metadati GKE per Workload Identity
- L'architettura nativa di GKE plug-in di Container Network Interface e Calico per NetworkPolicy
- le integrazioni di archiviazione di GKE Kubernetes come Conducente CSI
- GKE agenti di logging e monitoraggio
- Rafforzamento e applicazione di patch al piano di controllo. Il piano di controllo include la VM del piano di controllo, l'API server, lo scheduler, il gestore del controller, l'autorità di certificazione del cluster, l'emissione e la rotazione dei certificati TLS, il materiale della chiave radice della attendibilità, l'autenticatore e l'autorizzatore IAM, la configurazione dei log di controllo, etcd e vari altri controller. Tutti i componenti del piano di controllo vengono eseguiti su istanze Compute Engine gestite da Google. Queste istanze sono monoutente, il che significa che ogni istanza esegue il piano di controllo e i relativi componenti per un solo cliente.
- Fornisci integrazioni di Google Cloud per Connect, Identity and Access Management, Cloud Audit Logs, Google Cloud Observability, Cloud Key Management Service, Security Command Center e altri.
- Limita e registra l'accesso amministrativo di Google ai cluster del cliente per per gli scopi di supporto contrattuale Access Transparency.
Responsabilità del cliente
- Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini dei container, i dati, i criteri di IAM/Controllo degli accessi basato sui ruoli (RBAC) e i container e i pod in esecuzione.
- Ruota le credenziali dei cluster.
- Registra i cluster per l'upgrade automatico (impostazione predefinita) o esegui l'upgrade dei cluster alle versioni supportate.
- Monitora il cluster e le applicazioni e rispondi a eventuali avvisi incidenti usando tecnologie quali la dashboard della security posture e Google Cloud Observability.
- Fornisci a Google dettagli ambientali quando richiesto per la risoluzione dei problemi scopi.
- Assicurati che Logging e Monitoring siano è abilitata sui cluster. In assenza di log, l'assistenza viene fornita al meglio delle possibilità.
Google Distributed Cloud (solo software) su VMware
Responsabilità di Google
Gestisci e distribuisci il pacchetto software Google Distributed Cloud, inclusi i controller Kubernetes, vCenter e F5, il controller Ingress, gli agenti Connect, Logging e Monitoring e lo strumento a riga di comando
gkectl.Gestisci e distribuisci le immagini delle macchine della workstation di amministrazione e dei nodi Ubuntu, incluse le patch e le correzioni di sicurezza regolari.
Esegui la scansione continua dei componenti con API Artifact Analysis e applicare patch alle vulnerabilità note.
Avvisare gli utenti degli upgrade disponibili per Google Distributed Cloud e produrre script di upgrade per la versione precedente; Google Distributed Cloud on VMware supporta solo gli aggiornamenti sequenziali (1.2 → 1.3 → 1.4 solo e non 1.2 → 1.4).
Fornisci integrazioni di Google Cloud per Connect e l'osservabilità di Google Cloud.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Amministrazione complessiva del sistema per i cluster on-premise.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini dei container, i dati, i criteri di IAM/Controllo degli accessi basato sui ruoli (RBAC) e i container e i pod in esecuzione.
Gestire, mantenere e applicare patch all'infrastruttura, tra cui reti, server, archiviazione e connettività a Google Cloud.
Utilizza, gestisci e applica le patch a vSphere e ai bilanciatori del carico di rete.
Mantieni i contratti di assistenza con VMware e F5 (se implementato).
Esegui l'upgrade di Google Distributed Cloud a una versione supportata sulla base di una pianificazione regolare.
Esegui il deployment e testa i carichi di lavoro sulle immagini macchina dei nodi aggiornate. Esegui il deployment e testa le immagini delle workstation di amministrazione aggiornate nel tuo ambiente. Rivolgiti a Google per eventuali dubbi tramite l'assistenza clienti Google Cloud.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano impiegati nei cluster. Senza i log, l'assistenza è disponibile secondo il criterio del "best effort" Google Cloud.
Fornire a Google i dettagli ambientali (ad esempio, la configurazione di rete) quando richiesto per la risoluzione dei problemi.
Google Distributed Cloud (solo software) su bare metal
Responsabilità di Google
Gestisci e distribuisci il pacchetto software Google Distributed Cloud, inclusi Kubernetes, Ingress Controller, Connect e gli agenti di monitoraggio e logging, nonché lo strumento a riga di comando
bmctl.Esegui la scansione continua dei componenti con API Artifact Analysis e applicare patch alle vulnerabilità note.
Avvisare gli utenti degli upgrade disponibili per Google Distributed Cloud e produrre istruzioni di upgrade per la versione precedente; Google Distributed Cloud on bare metal supporta upgrade sequenziali tra istanze e patch release (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci integrazioni di Google Cloud per Connect e l'osservabilità di Google Cloud.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornire l'amministrazione generale del sistema per i cluster.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestire, mantenere e applicare patch all'infrastruttura, tra cui reti, server, archiviazione e connettività a Google Cloud.
Gestire i contratti di assistenza con i fornitori.
Esegui l'upgrade di Google Distributed Cloud a una versione supportata su base regolare.
Esegui il deployment e testa i carichi di lavoro sulle immagini macchina dei nodi aggiornate. Deployment e test le immagini delle workstation di amministrazione aggiornate nel tuo ambiente. Segnalare i dubbi a Google tramite l'assistenza clienti Google Cloud.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano impiegati nei cluster. Senza i log, l'assistenza è disponibile secondo il criterio del "best effort" Google Cloud.
Fornire a Google i dettagli ambientali (ad esempio, la configurazione di rete) quando richiesto per la risoluzione dei problemi.
GKE su AWS (multi-cloud)
Responsabilità di Google
Gestire e distribuire il pacchetto software GKE on AWS tra cui Kubernetes, immagini di base, funzionalità di integrazione AWS, il controller Ingress, l'agente Connect e strumento a riga di comando
anthos-gke.Esegui la scansione continua dei componenti con API Artifact Analysis e applicare patch alle vulnerabilità note.
Gestisci e distribuisci le immagini macchina del servizio di gestione, del piano di controllo e del pool di nodi, incluse le patch regolari e le correzioni di sicurezza.
Comunica agli utenti gli upgrade disponibili per GKE su AWS e genera istruzioni di upgrade per la versione precedente. GKE su AWS supporta solo gli upgrade sequenziali (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci integrazioni di Google Cloud per Connect e Google Cloud Observability.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornisci l'amministrazione generale del sistema per GKE su cluster AWS. Ad esempio, configurarli per funzionare nell'ambiente VPC aziendale.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di build immagini container, dati, criterio di autorizzazione RBAC/IAM e container e i pod che stai eseguendo.
Utilizza e gestisci l'ambiente AWS, compresa la configurazione di rete, e connettività a Google Cloud.
Gestire i contratti di assistenza con AWS.
Esegui l'upgrade di GKE su AWS a una versione supportata su base regolare.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano il deployment nei cluster. Senza i log, l'assistenza è disponibile secondo il criterio del "best effort" Google Cloud.
Fornire a Google i dettagli ambientali (ad esempio, la configurazione del VPC AWS) quando richiesto per la risoluzione dei problemi.
GKE su Azure
Responsabilità di Google
Gestisci e distribuisci il pacchetto software GKE su Azure, inclusi Kubernetes, immagini di base, integrazioni di Azure, il controller Ingress, l'agente Connect e la CLI Google Cloud.
Esegui la scansione continua dei componenti con API Artifact Analysis e applicare patch alle vulnerabilità note.
Gestire e distribuire il servizio di gestione, il piano di controllo e il pool di nodi di immagini macchina, incluse l'applicazione regolare di patch e correzioni di sicurezza.
Invia una notifica agli utenti degli upgrade disponibili per GKE su Azure e crea le istruzioni per eseguire l'upgrade per la versione precedente. GKE su Azure supporta solo gli upgrade sequenziali (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci integrazioni di Google Cloud per Connect e Google Cloud Observability.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornisci l'amministrazione di sistema complessiva per GKE sui cluster Azure. Ad esempio, la loro configurazione per il funzionamento nell'ambiente VPC aziendale.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di build immagini container, dati, criteri di autorizzazione RBAC/IAM e container ai pod in esecuzione.
Utilizza e gestisci l'ambiente Azure, compresa la configurazione di rete, e connettività a Google Cloud.
Mantieni i contratti di assistenza con Azure.
Esegui l'upgrade di GKE su Azure a una versione supportata su base regolare.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano impiegati nei cluster. In assenza di log, l'assistenza viene fornita al meglio delle possibilità.
Fornisci a Google dettagli ambientali (ad esempio, Azure VNet) configurazione) quando richiesto per la risoluzione dei problemi.
Cluster collegati a GKE Enterprise
Responsabilità di Google
Fornisci un elenco delle versioni e delle distribuzioni Kubernetes supportate.
Invia una notifica agli utenti sugli upgrade disponibili per i componenti GKE Enterprise e crea le istruzioni per eseguire l'upgrade per la versione precedente. GKE Enterprise supporta solo gli upgrade sequenziali (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci integrazioni di Google Cloud per Connect e Google Cloud Observability.
Risolvere i problemi, fornire soluzioni alternative e correggere la causa principale di qualsiasi problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornire una piattaforma Kubernetes moderna che soddisfi le specifiche di Google. La piattaforma include, a titolo esemplificativo, hardware, sistema operativo, server API Kubernetes, configurazione VPC e altri attributi.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di compilazione, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestire, mantenere e applicare patch all'infrastruttura, tra cui reti, server, archiviazione e connettività a Google Cloud.
Gestisci, mantieni e applica patch a qualsiasi infrastruttura necessaria per l'esecuzione del cluster.
Gestire i contratti di assistenza con terze parti. Ad esempio: networking, orchestrazione dei container, risorse di calcolo e fornitori di servizi di archiviazione.
Esegui l'upgrade di Kubernetes a una versione supportata su base regolare.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Mantieni i tuoi cluster connessi ai servizi Google.
Fornire a Google i dettagli ambientali (ad esempio la configurazione di rete) quando richiesto per la risoluzione dei problemi.
Passaggi successivi
Scopri come Google gestisce Applicazione di patch di sicurezza per con GKE Enterprise.
Configura il logging e il monitoraggio per: