Menggunakan library template batasan

Halaman ini menunjukkan cara menentukan batasan Policy Controller menggunakan template batasan yang sudah ada yang disediakan oleh Google.

Halaman ini ditujukan bagi administrator IT dan Operator yang ingin memastikan bahwa semua resource yang berjalan dalam platform cloud memenuhi persyaratan kepatuhan organisasi dengan menyediakan dan mempertahankan otomatisasi untuk mengaudit atau menerapkan, dan menggunakan template konfigurasi deklaratif. Untuk mempelajari lebih lanjut peran umum dan contoh tugas yang kami referensikan dalam konten Google Cloud, lihat Peran dan tugas pengguna GKE Enterprise umum.

Pengontrol Kebijakan memungkinkan Anda menerapkan kebijakan untuk cluster Kubernetes dengan menentukan satu atau beberapa objek batasan. Setelah batasan diinstal, permintaan ke server API akan diperiksa berdasarkan batasan dan ditolak jika tidak mematuhinya. Resource yang sudah ada dan tidak mematuhi kebijakan dilaporkan pada waktu audit.

Setiap batasan didukung oleh template batasan yang menentukan skema dan logika batasan. Template batasan dapat berasal dari Google dan pihak ketiga, atau Anda dapat menulis template Anda sendiri. Untuk mengetahui informasi selengkapnya tentang cara membuat template baru, lihat Menulis template batasan.

Sebelum memulai

• Menginstal Pengontrol Kebijakan.

Memeriksa library template batasan

Saat menentukan batasan, Anda menentukan template batasan yang diperluas. Library template batasan umum yang dikembangkan oleh Google diinstal secara default, dan banyak organisasi tidak perlu membuat template batasan kustom langsung di Rego. Template batasan yang disediakan oleh Google memiliki label configmanagement.gke.io/configmanagement.

Untuk menampilkan daftar batasan, gunakan perintah berikut:

kubectl get constrainttemplates \
    -l="configmanagement.gke.io/configmanagement=config-management"

Untuk mendeskripsikan template batasan dan memeriksa parameter yang diperlukan, gunakan perintah berikut:

kubectl describe constrainttemplate CONSTRAINT_TEMPLATE_NAME

Anda juga dapat melihat semua template batasan di library.

Menentukan batasan

Anda menentukan batasan menggunakan YAML, dan Anda tidak perlu memahami atau menulis Rego. Sebagai gantinya, batasan memanggil template batasan dan memberinya parameter khusus untuk batasan tersebut.

Jika Anda menggunakan Config Sync dengan repositori hierarkis, sebaiknya buat batasan di direktori cluster/.

Batasan memiliki kolom berikut:

• kind dalam huruf kecil cocok dengan nama template batasan.
• metadata.name adalah nama batasan.
• Kolom match menentukan objek yang akan menerima penerapan batasan. Semua kondisi yang ditentukan harus cocok sebelum objek berada dalam cakupan batasan. Kondisi match ditentukan oleh sub-kolom berikut:
  • kinds adalah jenis resource yang dikenai batasan, yang ditentukan oleh dua kolom: apiGroups adalah daftar grup Kubernetes API yang cocok dan kinds adalah daftar jenis yang cocok. "*" cocok dengan semua. Jika setidaknya satu entri apiGroup dan satu entri kind cocok, kondisi kinds akan terpenuhi.
  • scope menerima *, Cluster, atau Namespaced, yang menentukan apakah resource cakupan cluster atau cakupan namespace dipilih (defaultnya *).
  • namespaces adalah daftar nama namespace yang dapat dimiliki objek. Objek harus termasuk dalam setidaknya salah satu namespace ini. Resource namespace diperlakukan seolah-olah milik mereka sendiri.
  • excludedNamespaces adalah daftar namespace yang tidak dapat menjadi bagian dari objek.
  • labelSelector adalah pemilih label Kubernetes yang harus dipenuhi objek.
  • namespaceSelector adalah pemilih label di namespace tempat objek berada. Jika tidak memenuhi objek, namespace tidak akan cocok. Resource namespace diperlakukan seolah-olah milik mereka sendiri.
• Kolom parameters menentukan argumen untuk batasan, berdasarkan yang diharapkan template batasan.

Batasan berikut, yang disebut ns-must-have-geo, memanggil template batasan yang disebut K8sRequiredLabels, yang disertakan dalam library template batasan yang disediakan oleh Google. Batasan menentukan parameter yang digunakan template batasan untuk mengevaluasi apakah namespace memiliki label geo yang ditetapkan ke beberapa nilai.

# ns-must-have-geo.yaml

apiVersion: constraints.gatekeeper.sh/v1beta1
kind: K8sRequiredLabels
metadata:
  name: ns-must-have-geo
spec:
  match:
    kinds:
      - apiGroups: [""]
        kinds: ["Namespace"]
  parameters:
    labels:
      - key: "geo"

Untuk membuat batasan, gunakan kubectl apply -f:

kubectl apply -f ns-must-have-geo.yaml

Mengaudit batasan

Jika batasan dikonfigurasi dan diinstal dengan benar, kolom status.byPod[].enforced-nya ditetapkan ke true, baik batasan tersebut dikonfigurasi untuk menerapkan atau hanya menguji batasan.

Batasan diterapkan secara default, dan pelanggaran batasan akan mencegah operasi cluster tertentu. Anda dapat menetapkan spec.enforcementAction batasan ke dryrun untuk melaporkan pelanggaran di kolom status.violations tanpa mencegah operasi.

Untuk mempelajari audit lebih lanjut, lihat Melakukan audit menggunakan batasan.

Batasan saat menyinkronkan

Jika Anda menyinkronkan batasan ke sumber terpusat, seperti repositori Git, dengan Config Sync atau alat gaya GitOps lainnya, perhatikan peringatan berikut saat menyinkronkan batasan.

Konsistensi tertunda

Anda dapat melakukan batasan ke sumber tepercaya seperti repositori Git, dan dapat membatasi efeknya menggunakan ClusterSelectors atau NamespaceSelectors. Karena sinkronisasi pada akhirnya konsisten, perhatikan peringatan berikut:

• Jika operasi cluster memicu batasan yang NamespaceSelector-nya merujuk ke namespace yang belum disinkronkan, batasan akan diterapkan dan operasi akan dicegah. Dengan kata lain, namespace yang tidak ada "gagal ditutup".
• Jika Anda mengubah label namespace, cache mungkin berisi data yang sudah tidak berlaku untuk waktu yang singkat.

Minimalkan kebutuhan untuk mengganti nama namespace atau mengubah labelnya, dan uji batasan yang memengaruhi namespace yang diganti namanya atau diberi label baru untuk memastikannya berfungsi seperti yang diharapkan.

Mengonfigurasi Pengontrol Kebijakan untuk batasan referensi

Sebelum dapat mengaktifkan batasan referensi, Anda harus membuat konfigurasi yang memberi tahu Pengontrol Kebijakan jenis objek yang akan dipantau, seperti namespace.

Simpan manifes YAML berikut ke file, lalu terapkan dengan kubectl. Manifes mengonfigurasi Pengontrol Kebijakan untuk memantau namespace dan Ingress. Buat entri dengan group, version, dan kind di bagian spec.sync.syncOnly, dengan nilai untuk setiap jenis objek yang ingin Anda pantau.

apiVersion: config.gatekeeper.sh/v1alpha1
kind: Config
metadata:
  name: config
  namespace: "gatekeeper-system"
spec:
  sync:
    syncOnly:
      - group: ""
        version: "v1"
        kind: "Namespace"
      - group: "extensions"
        version: "v1beta1"
        kind: "Ingress"

Mengaktifkan batasan referensi

Catatan: Sebelum mengaktifkan batasan referensi, Anda harus membuat konfigurasi untuk namespace gatekeeper-system.

Batasan referensi mereferensikan objek lain dalam definisinya. Misalnya, Anda dapat membuat batasan yang mewajibkan objek Ingress dalam cluster memiliki nama host unik. Batasan bersifat referensial jika template batasan berisi string data.inventory dalam Rego-nya.

Batasan referensi diaktifkan secara default jika Anda menginstal Pengontrol Kebijakan menggunakan konsol Google Cloud. Jika menginstal Pengontrol Kebijakan menggunakan Google Cloud CLI, Anda dapat memilih apakah akan mengaktifkan batasan referensi saat Menginstal Pengontrol Kebijakan. Batasan referensi hanya dijamin akan konsisten pada akhirnya, dan hal ini menimbulkan risiko:

• Pada server API yang kelebihan beban, konten cache Pengontrol Kebijakan mungkin menjadi usang, sehingga menyebabkan batasan referensi "gagal terbuka", yang berarti tindakan penegakan tampaknya berfungsi saat tidak. Misalnya, Anda dapat membuat Ingress dengan nama host duplikat terlalu cepat untuk memungkinkan pengontrol akses mendeteksi duplikat.

• Urutan penginstalan batasan dan urutan pembaruan cache adalah acak.

Anda dapat memperbarui cluster yang ada untuk mengizinkan batasan referensi.

Konsol

Untuk menonaktifkan batasan referensi, selesaikan langkah-langkah berikut:

1. Di konsol Google Cloud, buka halaman Kebijakan GKE Enterprise di bagian Posture Management.

   Buka Kebijakan

2. Di tab Setelan, di tabel cluster, pilih Edit di kolom Edit configuration.
3. Luaskan menu Edit Policy Controller configuration.
4. Centang kotak Aktifkan Template Batasan yang merujuk selain ke objek yang sedang dievaluasi..
5. Pilih Simpan perubahan.

Pengontrol Kebijakan gcloud

Untuk mengaktifkan dukungan batasan referensi, jalankan perintah berikut:

gcloud container fleet policycontroller update \
    --memberships=MEMBERSHIP_NAME \
    --referential-rules

Ganti MEMBERSHIP_NAME dengan nama keanggotaan cluster terdaftar untuk mengaktifkan aturan referensi. Anda dapat menentukan beberapa keanggotaan yang dipisahkan dengan koma.

gcloud ConfigManagement

Perhatian: Mengonfigurasi Pengontrol Kebijakan melalui objek ConfigManagement tidak lagi direkomendasikan. Gunakan tab Pengontrol Kebijakan gcloud untuk mendapatkan petunjuk yang setara. Untuk informasi selengkapnya, lihat dokumentasi Google Cloud CLI Pengontrol Kebijakan.

Untuk mengaktifkan dukungan batasan referensi, tetapkan policyController.referentialRulesEnabled ke true dalam file config-management.yaml Anda:

apiVersion: configmanagement.gke.io/v1
kind: ConfigManagement
metadata:
  name: config-management
  namespace: config-management-system
spec:
  clusterName: my-cluster
  channel: dev
  policyController:
    enabled: true
    referentialRulesEnabled: true

Catatan: Jika Anda mengaktifkan library template, mengaktifkan batasan referensi akan menambahkan template tambahan. Jika Anda menonaktifkan batasan referensi, template tersebut akan dihapus dari cluster beserta batasan referensi yang menggunakannya.

Menonaktifkan batasan referensi

Saat Anda menonaktifkan batasan referensi, semua template yang menggunakan batasan referensi juga akan dihapus dari cluster, beserta batasan apa pun yang menggunakan template tersebut.

Konsol

Batasan referensi diaktifkan secara default saat Anda menginstal Pengontrol Kebijakan dengan konsol Google Cloud. Untuk menonaktifkan batasan referensi, selesaikan langkah-langkah berikut:

1. Di konsol Google Cloud, buka halaman Kebijakan GKE Enterprise di bagian Posture Management.

   Buka Kebijakan

2. Di tab Setelan, di tabel cluster, pilih Edit di kolom Edit configuration.
3. Luaskan menu Edit Policy Controller configuration.
4. Hapus centang pada kotak Aktifkan Template Batasan yang merujuk selain ke objek yang sedang dievaluasi..
5. Pilih Simpan perubahan.

Pengontrol Kebijakan gcloud

Untuk menonaktifkan dukungan batasan referensi, jalankan perintah berikut:

gcloud container fleet policycontroller update \
    --memberships=MEMBERSHIP_NAME \
    --no-referential-rules

Ganti MEMBERSHIP_NAME dengan nama keanggotaan cluster terdaftar untuk mengaktifkan aturan referensi. Anda dapat menentukan beberapa keanggotaan yang dipisahkan dengan koma.

gcloud ConfigManagement

Perhatian: Mengonfigurasi Pengontrol Kebijakan melalui objek ConfigManagement tidak lagi direkomendasikan. Gunakan tab Pengontrol Kebijakan gcloud untuk mendapatkan petunjuk yang setara. Untuk informasi selengkapnya, lihat dokumentasi Google Cloud CLI Pengontrol Kebijakan.

Untuk menonaktifkan batasan referensi pada cluster, tetapkan policyController.referentialRulesEnabled ke false dalam file config-management.yaml Anda:

apiVersion: configmanagement.gke.io/v1
kind: ConfigManagement
metadata:
  name: config-management
  namespace: config-management-system
spec:
  clusterName: my-cluster
  channel: dev
  policyController:
    enabled: true
    referentialRulesEnabled: false

Mencantumkan semua batasan

Untuk menampilkan daftar semua batasan yang diinstal di cluster, gunakan perintah berikut:

kubectl get constraint

Anda juga dapat melihat ringkasan batasan yang diterapkan di konsol Google Cloud. Untuk mengetahui informasi selengkapnya, lihat Metrik Pengontrol Kebijakan.

Menghapus batasan

Untuk menemukan semua batasan yang menggunakan template batasan, gunakan perintah berikut untuk mencantumkan semua objek dengan kind yang sama dengan metadata.name template batasan:

kubectl get CONSTRAINT_TEMPLATE_NAME

Untuk menghapus batasan, tentukan kind dan name-nya:

kubectl delete CONSTRAINT_TEMPLATE_NAME CONSTRAINT_NAME

Saat Anda menghapus batasan, batasan tersebut akan berhenti diterapkan segera setelah server API menandai batasan sebagai dihapus.

Penting: Data pelanggaran batasan disimpan dalam objek batasan seperti yang dipertahankan di cluster, dan tidak dapat diambil setelah batasan dihapus.

Menghapus semua template batasan

Catatan: Saat Anda menghapus semua template batasan, semua batasan yang menggunakan template tersebut juga akan dihapus. Batasan harus didukung oleh template batasan.

Konsol

Untuk menonaktifkan library template batasan, selesaikan langkah-langkah berikut:

1. Di konsol Google Cloud, buka halaman Kebijakan GKE Enterprise di bagian Posture Management.

   Buka Kebijakan

2. Di tab Setelan, di tabel cluster, pilih Edit di kolom Edit configuration.
3. Di menu Tambahkan/Edit paket kebijakan, nonaktifkan library template dan semua paket kebijakan .
4. Pilih Simpan perubahan.

Pengontrol Kebijakan gcloud

Untuk menonaktifkan library template batasan, jalankan perintah berikut:

gcloud container fleet policycontroller content templates disable \
    --memberships=MEMBERSHIP_NAME

Ganti MEMBERSHIP_NAME dengan nama keanggotaan cluster terdaftar untuk menonaktifkan library template batasan. Anda dapat menentukan beberapa langganan yang dipisahkan dengan koma.

gcloud ConfigManagement

Perhatian: Mengonfigurasi Pengontrol Kebijakan melalui objek ConfigManagement tidak lagi direkomendasikan. Gunakan tab Pengontrol Kebijakan gcloud untuk mendapatkan petunjuk yang setara. Untuk informasi selengkapnya, lihat dokumentasi Google Cloud CLI Pengontrol Kebijakan.

Tetapkan spec.policyController.templateLibraryInstalled ke false. Tindakan ini mencegah Pengontrol Kebijakan menginstal ulang library secara otomatis.

Untuk menghapus semua template batasan dan semua batasan, gunakan perintah berikut:

kubectl delete constrainttemplate --all

Memulihkan library template batasan

Konsol

Untuk mengaktifkan library template batasan, selesaikan langkah-langkah berikut:

1. Di konsol Google Cloud, buka halaman Kebijakan GKE Enterprise di bagian Posture Management.

   Buka Kebijakan

2. Di tab Setelan, di tabel cluster, pilih Edit di kolom Edit configuration.
3. Di menu Tambahkan/Edit paket kebijakan, aktifkan library template di . Anda juga dapat mengaktifkan salah satu atau semua paket kebijakan.
4. Pilih Simpan perubahan.

Pengontrol Kebijakan gcloud

Untuk memulihkan library template batasan, jalankan perintah berikut:

gcloud container fleet policycontroller content templates enable \
    --memberships=MEMBERSHIP_NAME

Ganti MEMBERSHIP_NAME dengan nama keanggotaan cluster terdaftar untuk mengaktifkan library template batasan. Anda dapat menentukan beberapa langganan yang dipisahkan dengan koma.

gcloud ConfigManagement

Perhatian: Mengonfigurasi Pengontrol Kebijakan melalui objek ConfigManagement tidak lagi direkomendasikan. Gunakan tab Pengontrol Kebijakan gcloud untuk mendapatkan petunjuk yang setara. Untuk informasi selengkapnya, lihat dokumentasi Google Cloud CLI Pengontrol Kebijakan.

Jika menonaktifkan library template batasan atau meng-uninstal semua template batasan, Anda dapat memulihkannya dengan menetapkan spec.policyController.templateLibraryInstalled ke true di konfigurasi Pengontrol Kebijakan.

Perhatian: Karena masalah umum, Anda mungkin perlu memulai ulang Pod Operator jika library template batasan tidak diinstal ulang secara otomatis.

Untuk memulai ulang Pod Operator, gunakan perintah berikut:

kubectl delete pod -n config-management-system -l k8s-app=config-management-operator

Langkah selanjutnya

• Pelajari paket Pengontrol Kebijakan.
• Lihat dokumentasi referensi library template batasan.
• Pelajari cara membuat batasan kustom.
• Memecahkan masalah Pengontrol Kebijakan.