Menggunakan batasan kebijakan CIS Google Kubernetes Engine Benchmark v1.5.0

Pengontrol Kebijakan dilengkapi dengan library default yang berisi template batasan yang dapat digunakan dengan Paket kebijakan GKE v1.5.0 Center for Internet Security (CIS) untuk membantu mengaudit kepatuhan GKE Anda di cluster Google Cloud melawan Tolok Ukur Google Kubernetes Engine (GKE) CIS v1.5.0. Tolok ukur ini adalah serangkaian kontrol keamanan yang direkomendasikan untuk mengonfigurasi hanya pada container yang tepercaya.

Halaman ini ditujukan untuk admin IT dan Operator yang ingin memastikan bahwa semua resource yang berjalan dalam platform {i>cloud<i} memenuhi persyaratan persyaratan kepatuhan dengan menyediakan dan mempertahankan otomatisasi untuk terapkan. Untuk mempelajari lebih lanjut tentang peran umum dan contoh tugas yang kami rujuk di konten Google Cloud, lihat Peran dan tugas pengguna GKE Enterprise yang umum.

Paket batasan ini mencakup kontrol di domain berikut:

• RBAC dan akun layanan
• Kebijakan Keamanan Pod
• Kebijakan jaringan dan CNI
• Pengelolaan rahasia
• Kontrol Penerimaan yang Dapat Diperluas
• Kebijakan umum
• Layanan Terkelola

Catatan: Paket ini belum disertifikasi oleh CIS.

Batasan paket kebijakan CIS GKE v1.5.0

Nama Batasan	Deskripsi Batasan	ID Kontrol
cis-gke-v1.5.0-apparmor	Membatasi profil AppArmor untuk Pod.	4.2.1
cis-gke-v1.5.0-restrict-creation-with-default-serviceaccount	Membatasi pembuatan resource menggunakan ServiceAccount default.	4.1.5
cis-gke-v1.5.0-restrict-loadbalancer	Melarang semua layanan dengan jenis LoadBalancer.	5.6.8
cis-gke-v1.5.0-restrict-secrets-of-type-basic-auth	Membatasi penggunaan secret jenis autentikasi dasar.	4.4.2
cis-gke-v1.5.0-require-binauthz	Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran.	4.5.1, 5.10.4
cis-gke-v1.5.0-require-cos-node-image	Memerlukan Container-Optimized OS sebagai node OS image.	5.5.1
cis-gke-v1.5.0-require-gke-metadata-server-enabled	Layanan Metadata GKE harus diaktifkan di setiap node dalam cluster.	5.4.2
cis-gke-v1.5.0-require-ingress.class-gce	Mewajibkan semua objek Ingress memiliki anotasi kubernetes.io/ingress.class: gce.	5.6.8
cis-gke-v1.5.0-require-managed-certificates	Mewajibkan semua objek Ingress memiliki anotasi networking.gke.io/managed-certificates.	5.6.8
cis-gke-v1.5.0-require-namespace-networkpolicy	Mengharuskan setiap Namespace yang ditentukan dalam cluster memiliki NetworkPolicy.	4.3.2
cis-gke-v1.5.0-require-seccomp-default	Penampung tidak dapat dijalankan dengan profil seccomp selain runtime/default.	4.6.2
cis-gke-v1.5.0-require-securitycontext	Mewajibkan pod menentukan securityContext.	4.6.3
cis-gke-v1.5.0-capabilities	Menambahkan kemampuan di luar yang tercantum tidak diizinkan.	4.2.1
cis-gke-v1.5.0-restrict-cluster-admin-role	Membatasi penggunaan peran cluster-admin.	4.1.1
cis-gke-v1.5.0-restrict-default-namespace	Membatasi pod agar tidak menggunakan Namespace default.	4.6.1, 4.6.4
cis-gke-v1.5.0-restrict-env-var-secrets	Membatasi penggunaan secret sebagai variabel lingkungan dalam definisi container.	4.4.1
cis-gke-v1.5.0-host-namespace	Membatasi penampung dengan hostPID atau hostIPC yang ditetapkan ke benar (true).	4.2.1
cis-gke-v1.5.0-restrict-pods-create	Membatasi pembuatan pod di Roles dan ClusterRoles.	4.1.4
cis-gke-v1.5.0-restrict-privileged-containers	Membatasi penampung dengan securityContext.privileged yang disetel ke benar (true).	4.2.1
cis-gke-v1.5.0-restrict-rbac-subjects	Membatasi penggunaan nama dalam subjek RBAC pada nilai yang diizinkan.	5.8.2
cis-gke-v1.5.0-restrict-role-wildcards	Membatasi penggunaan karakter pengganti di Roles dan ClusterRoles.	4.1.3
cis-gke-v1.5.0-restrict-role-secrets	Membatasi penggunaan secret di Roles dan ClusterRoles.	4.1.2
cis-gke-v1.5.0-restrict-automountserviceaccounttoken	Membatasi penggunaan token akun layanan untuk pod.	4.1.5, 4.1.6
cis-gke-v1.5.0-selinux	Tidak dapat menetapkan jenis SELinux atau menetapkan opsi pengguna atau peran SELinux kustom.	4.2.1
cis-gke-v1.5.0-host-port	HostPorts seharusnya tidak diizinkan.	4.2.1
cis-gke-v1.5.0-hostpath-volumes	Volume HostPath harus dilarang.	4.2.1
cis-gke-v1.5.0-hostprocess	Container dan pod tidak dapat dijalankan dengan securityContext.windowsOptions.hostProcess yang ditetapkan ke true.	4.2.1
cis-gke-v1.5.0-proc-mount-type	Penampung tidak dapat dijalankan dengan procMount yang ditetapkan ke nilai selain Default.	4.2.1
cis-gke-v1.5.0-restrict-bind-escalate-impersonate	Membatasi akses ke pengikatan, eskalasikan, dan peniruan identitas pada peran/clusterrole di Roles dan ClusterRoles.	4.1.8
cis-gke-v1.5.0-restrict-certificatesigningrequests-approval	Persetujuan sertifikat klien dibatasi.	4.1.11
cis-gke-v1.5.0-restrict-nodes-proxy	Membatasi akses ke sub-resource proxy node di Roles dan ClusterRoles.	4.1.10
cis-gke-v1.5.0-restrict-persistent-volume	Membatasi pembuatan persistentvolumes di Roles dan ClusterRoles.	4.1.9
cis-gke-v1.5.0-restrict-serviceaccounts-token	Membatasi pembuatan token akun layanan di Roles dan ClusterRoles.	4.1.13
cis-gke-v1.5.0-restrict-system-masters-group	Melarang penggunaan grup system:masters.	5.1.7
cis-gke-v1.5.0-restrict-system-masters-group	Membatasi akses ke objek konfigurasi webhook di Roles dan ClusterRoles.	4.1.12
cis-gke-v1.5.0-seccomp	Profil Seccomp tidak boleh disetel ke Unconfined.	4.2.1
cis-gke-v1.5.0-sysctls	Container hanya dapat menetapkan sysctls yang tercantum di kolom allowedSysctls.	4.2.1
cis-gke-v1.5.0-host-namespaces-hostnetwork	Namespace host hostNetwork hanya dapat false.	4.2.1

Sebelum memulai

Perhatian: Paket kebijakan ini hanya dimaksudkan untuk digunakan dengan GKE di Google Cloud. Untuk cluster GKE lainnya, Tolok Ukur Kubernetes CIS paket kebijakan direkomendasikan.

1. Instal dan inisialisasikan Google Cloud CLI, yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah terinstal.
2. Menginstal Pengontrol Kebijakan v1.16.2 atau yang lebih tinggi di cluster Anda dengan library default template batasan. Anda juga harus mengaktifkan dukungan untuk batasan referensial, karena paket ini berisi batasan referensial.

Mengonfigurasi untuk batasan referensial

Peringatan: Anda dapat menimpa perubahan. Jika Anda sudah memiliki Config dalam namespace gatekeeper-system, Anda harus menyertakan semua elemen sebelumnya setelan penyesuaian untuk mempertahankan perubahan Anda.

1. Simpan manifes YAML berikut ke file sebagai policycontroller-config.yaml. Manifes mengonfigurasi Pengontrol Kebijakan untuk mengawasi jenis objek tertentu.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: "admissionregistration.k8s.io"
           version: "v1"
           kind: "ValidatingWebhookConfiguration"
         - group: "networking.k8s.io"
           version: "v1"
           kind: "NetworkPolicy"
   

2. Terapkan manifes policycontroller-config.yaml:

   kubectl apply -f policycontroller-config.yaml
   

Mengonfigurasi cluster dan workload Anda

1. Pengaktifan dan konfigurasi Google Grup untuk RBAC diperlukan di cis-gke-v1.5.0-restrict-rbac-subjects.
2. Pengaktifan dan konfigurasi Otorisasi Biner diperlukan dalam cis-gke-v1.5.0-require-binauthz.

Kebijakan audit

Pengontrol Kebijakan dapat digunakan untuk menerapkan kebijakan untuk cluster Kubernetes. Untuk membantu menguji workload dan kepatuhan Anda sehubungan dengan CIS GKE v1.5.0 kebijakan yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan tersebut "audit" mode untuk mengungkap dan menangani pelanggaran.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction yang disetel ke dryrun menggunakan kubectl, kpt, atau Sinkronisasi Konfigurasi.

kubectl

1. (Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-gke-v1.5.0
   

2. Terapkan batasan kebijakan dengan kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-gke-v1.5.0
   

   Outputnya adalah sebagai berikut:

   k8savoiduseofsystemmastersgroup.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-system-masters-group created
   k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-creation-with-default-serviceaccount created
   k8sblockloadbalancer.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-loadbalancer created
   k8sblockobjectsoftype.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-secrets-of-type-basic-auth created
   k8snoenvvarsecrets.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-env-var-secrets created
   k8spspapparmor.constraints.gatekeeper.sh/cis-gke-v1.5.0-apparmor created
   k8spspcapabilities.constraints.gatekeeper.sh/cis-gke-v1.5.0-capabilities created
   k8spspforbiddensysctls.constraints.gatekeeper.sh/cis-gke-v1.5.0-sysctls created
   k8spsphostfilesystem.constraints.gatekeeper.sh/cis-gke-v1.5.0-hostpath-volumes created
   k8spsphostnamespace.constraints.gatekeeper.sh/cis-gke-v1.5.0-host-namespace created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/cis-gke-v1.5.0-host-port created
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/cis-gke-v1.5.0-privileged-containers created
   k8spspprocmount.constraints.gatekeeper.sh/cis-gke-v1.5.0-proc-mount-type created
   k8spspselinuxv2.constraints.gatekeeper.sh/cis-gke-v1.5.0-selinux created
   k8spspseccomp.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-seccomp-default created
   k8spspseccomp.constraints.gatekeeper.sh/cis-gke-v1.5.0-seccomp created
   k8spspwindowshostprocess.constraints.gatekeeper.sh/cis-gke-v1.5.0-hostprocess created
   k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-securitycontext created
   k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-role-wildcards created
   k8srequirebinauthz.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-binauthz created
   k8srequirecosnodeimage.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-cos-node-image created
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-namespace-networkpolicy created
   k8srequiredannotations.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-ingress.class-gce created
   k8srequiredannotations.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-managed-certificates created
   k8srequiredlabels.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-gke-metadata-server-enabled created
   k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-automountserviceaccounttoken created
   k8srestrictnamespaces.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-default-namespace created
   k8srestrictrbacsubjects.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-rbac-subjects created
   k8srestrictrolebindings.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-cluster-admin-role created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-bind-escalate-impersonate created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-certificatesigningrequests-approval created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-nodes-proxy created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-persistent-volume created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-pods-create created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-role-secrets created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-serviceaccounts-token created
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-webhook-config created
   

3. Pastikan batasan kebijakan telah diinstal dan periksa apakah terdapat pelanggaran di seluruh cluster:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0
   

   Outputnya mirip dengan hal berikut ini:

   NAME                                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8savoiduseofsystemmastersgroup.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-system-masters-group   dryrun               0
   
   NAME                                                                                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-creation-with-default-serviceaccount   dryrun               0
   
   NAME                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockloadbalancer.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-loadbalancer   dryrun               0
   
   NAME                                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockobjectsoftype.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-secrets-of-type-basic-auth   dryrun               0
   
   NAME                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8snoenvvarsecrets.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-env-var-secrets   dryrun               0
   
   NAME                                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-securitycontext   dryrun               0
   
   NAME                                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-role-wildcards   dryrun               0
   
   NAME                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspapparmor.constraints.gatekeeper.sh/cis-gke-v1.5.0-apparmor   dryrun               0
   
   NAME                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspcapabilities.constraints.gatekeeper.sh/cis-gke-v1.5.0-capabilities   dryrun               0
   
   NAME                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspforbiddensysctls.constraints.gatekeeper.sh/cis-gke-v1.5.0-sysctls   dryrun               0
   
   NAME                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostfilesystem.constraints.gatekeeper.sh/cis-gke-v1.5.0-hostpath-volumes   dryrun               0
   
   NAME                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnamespace.constraints.gatekeeper.sh/cis-gke-v1.5.0-host-namespace   dryrun               0
   
   NAME                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnetworkingports.constraints.gatekeeper.sh/cis-gke-v1.5.0-host-port   dryrun               0
   
   NAME                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/cis-gke-v1.5.0-privileged-containers   dryrun               0
   
   NAME                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprocmount.constraints.gatekeeper.sh/cis-gke-v1.5.0-proc-mount-type   dryrun               0
   
   NAME                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspseccomp.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-seccomp-default   dryrun               0
   k8spspseccomp.constraints.gatekeeper.sh/cis-gke-v1.5.0-seccomp                   dryrun               0
   
   NAME                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspselinuxv2.constraints.gatekeeper.sh/cis-gke-v1.5.0-selinux   dryrun               0
   
   NAME                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspwindowshostprocess.constraints.gatekeeper.sh/cis-gke-v1.5.0-hostprocess   dryrun               0
   
   NAME                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirebinauthz.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-binauthz   dryrun               0
   
   NAME                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirecosnodeimage.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-cos-node-image   dryrun               0
   
   NAME                                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredannotations.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-ingress.class-gce      dryrun               0
   k8srequiredannotations.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-managed-certificates   dryrun               0
   
   NAME                                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredlabels.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-gke-metadata-server-enabled   dryrun               0
   
   NAME                                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-namespace-networkpolicy   dryrun               0
   
   NAME                                                                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-automountserviceaccounttoken   dryrun               0
   
   NAME                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictnamespaces.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-default-namespace   dryrun               0
   
   NAME                                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrbacsubjects.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-rbac-subjects   dryrun               0
   
   NAME                                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolebindings.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-cluster-admin-role   dryrun               0
   
   NAME                                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-bind-escalate-impersonate             dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-certificatesigningrequests-approval   dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-nodes-proxy                           dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-persistent-volume                     dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-pods-create                           dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-role-secrets                          dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-serviceaccounts-token                 dryrun               0
   k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-webhook-config                        dryrun               0
   

kpt

1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

2. Download paket kebijakan CIS dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-gke-v1.5.0
   

3. Menjalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap dryrun:

   kpt fn eval cis-gke-v1.5.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
     -- enforcementAction=dryrun
   

4. Menginisialisasi direktori kerja dengan kpt, yang membuat resource untuk lacak perubahan:

   cd cis-gke-v1.5.0
   kpt live init
   

5. Terapkan batasan kebijakan dengan kpt:

   kpt live apply
   

6. Pastikan batasan kebijakan telah diinstal dan periksa apakah terdapat pelanggaran di seluruh cluster:

   kpt live status --output table --poll-until current
   

   Status CURRENT mengonfirmasi keberhasilan penginstalan batasan data.

Config Sync

1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

   Perhatian: Kpt v1.0.0-beta.17 dan yang lebih baru secara otomatis membuat resourcegroup.yaml file selama live init yang tidak boleh diperiksa ke dalam repositori Config Sync Anda. Jika belum ada, tambahkan resourcegroup.yaml ke file .gitignore repositori Anda.

   Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

2. Buat direktori policies khusus:

   mkdir -p policies
   

3. Download paket kebijakan CIS GKE v1.5.0 dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-gke-v1.5.0 policies/cis-gke-v1.5.0
   

4. Menjalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap dryrun:

   kpt fn eval policies/cis-gke-v1.5.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

5. (Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

   kpt live init policies/cis-gke-v1.5.0
   kpt live apply --dry-run policies/cis-gke-v1.5.0
   

6. Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Sesuaikan, tambahkan policies/cis-gke-v1.5.0 ke kustomization.yaml root Anda. Sebaliknya hapus file policies/cis-gke-v1.5.0/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/cis-gke-v1.5.0/kustomization.yaml
   

7. Kirim perubahan ke repositori Config Sync:

   git add SYNC_ROOT_DIR/policies/cis-gke-v1.5.0
   git commit -m 'Adding CIS GKE v1.5.0 policy bundle'
   git push
   

8. Verifikasi status penginstalan:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Status SYNCED mengonfirmasi penginstalan kebijakan.

Lihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran di dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran di cluster menggunakan berikut:

kubectl get constraint -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Jika ditemukan pelanggaran, daftar pesan pelanggaran per batasan dapat dilihat dengan:

kubectl get constraint -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Mengubah tindakan penegakan paket kebijakan CIS GKE v1.5.0

Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan mengubah mode penerapan sehingga Pengontrol Penerimaan akan warn aktif atau bahkan deny akan memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.

Peringatan: Tindakan penegakan deny harus digunakan dengan hati-hati karena dapat berpotensi memblokir perubahan yang diperlukan yang mengakibatkan gangguan pada workload atau cluster tersebut. Sangat disarankan agar hanya warn atau Tindakan penegakan kebijakan dryrun digunakan pada cluster dengan beban kerja produksi, saat menguji batasan baru, atau melakukan migrasi, seperti mengupgrade di berbagai platform Google. Untuk informasi selengkapnya tentang tindakan penegakan kebijakan, lihat Mengaudit menggunakan batasan.

kubectl

1. Gunakan kubectl untuk menetapkan kebijakan' tindakan penegakan kebijakan untuk warn:

   kubectl get constraint -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Pastikan tindakan penegakan batasan kebijakan telah diperbarui:

   kubectl get constraints -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0
   

kpt

1. Menjalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Terapkan batasan kebijakan:

   kpt live apply
   

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

2. Menjalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap warn:

   kpt fn eval policies/cis-gke-v1.5.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Kirim perubahan ke repositori Config Sync:

   git add SYNC_ROOT_DIR/policies/cis-gke-v1.5.0
   git commit -m 'Adding CIS GKE v1.5.0 policy bundle warn enforcement'
   git push
   

4. Verifikasi status penginstalan:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repositori Anda yang muncul di kolom SYNCED mengonfirmasi bahwa penginstalan kebijakan.

Menguji penerapan kebijakan

Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

Pengontrol penerimaan harus memberikan peringatan yang mencantumkan kebijakan pelanggaran yang dilanggar oleh resource ini, seperti yang ditunjukkan dalam contoh berikut:

Warning: [cis-gke-v1.5.0-restrict-default-namespace] <default> namespace is restricted
Warning: [cis-gke-v1.5.0-require-seccomp-default] Seccomp profile 'not configured' is not allowed for container 'wordpress'. Found at: no explicit profile found. Allowed profiles: {"RuntimeDefault", "runtime/default"}
Warning: [cis-gke-v1.5.0-require-securitycontext] securityContext must be defined for all Pod containers
pod/wp-non-compliant configured

Menghapus paket kebijakan CIS GKE v1.5.0

Jika diperlukan, paket kebijakan CIS GKE v1.5.0 dapat dihapus dari cluster.

kubectl

Gunakan kubectl untuk menghapus kebijakan:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0
  

kpt

Hapus kebijakan:

  kpt live destroy
  

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:

1. Kirim perubahan ke repositori Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/cis-gke-v1.5.0
   git commit -m 'Removing CIS GKE v1.5.0 policy bundle'
   git push
   

2. Verifikasi statusnya:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repositori Anda yang muncul di kolom SYNCED mengonfirmasi penghapusan kebijakan tersebut.