Pengontrol Kebijakan dilengkapi dengan library default template batasan yang dapat digunakan dengan Paket NIST SP 800-53 Rev. 5 yang mengimplementasikan kontrol yang tercantum dalam National Institute of Standards and Technology (NIST) Special Publication (SP) 800-53 Rev. 5. Paket ini dapat membantu organisasi melindungi sistem dan data mereka dari berbagai ancaman dengan menerapkan kebijakan privasi dan keamanan yang siap pakai.
Halaman ini ditujukan untuk admin IT dan Operator yang ingin memastikan bahwa semua resource yang berjalan dalam platform {i>cloud<i} memenuhi persyaratan persyaratan kepatuhan dengan menyediakan dan mempertahankan otomatisasi untuk terapkan. Untuk mempelajari lebih lanjut tentang peran umum dan contoh tugas yang kami rujuk di konten Google Cloud, lihat Peran dan tugas pengguna GKE Enterprise yang umum.
Batasan paket kebijakan NIST SP 800-53 Rev. 5
Nama Batasan | Deskripsi Batasan | ID Kontrol |
---|---|---|
nist-sp-800-53-r5-block-secrets-of-type-basic-auth | Membatasi penggunaan secret jenis autentikasi dasar. | Atribut Keamanan dan Privasi AC-16 |
nist-sp-800-53-r5-restrict-hostpath-volumes | Membatasi penggunaan volume HostPath. | |
nist-sp-800-53-r5-restrict-rbac-subjects | Membatasi penggunaan nama dalam subjek RBAC pada nilai yang diizinkan. | Pengelolaan Akun AC-2 |
nist-sp-800-53-r5-restrict-rbac-subjects | Membatasi penggunaan nama dalam subjek RBAC pada nilai yang diizinkan. | Penerapan Akses AC-3 |
nist-sp-800-53-r5-block-secrets-of-type-basic-auth | Membatasi penggunaan secret jenis autentikasi dasar. | Penegakan Alur Informasi AC-4 |
nist-sp-800-53-r5-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | |
nist-sp-800-53-r5-require-namespace-network-policies | Setiap namespace yang ditentukan di cluster harus memiliki NetworkPolicy. | |
nist-sp-800-53-r5-restrict-hostpath-volumes | Membatasi penggunaan volume HostPath. | |
nist-sp-800-53-r5-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | Hak Istimewa Terendah AC-6 |
nist-sp-800-53-r5-restrict-clusteradmin-rolebindings | Membatasi penggunaan peran `cluster-admin`. | |
nist-sp-800-53-r5-restrict-repos | Membatasi image container ke daftar `repos` yang diizinkan. | |
nist-sp-800-53-r5-restrict-role-wildcards | Membatasi penggunaan karakter pengganti pada `Roles` dan `ClusterRoles`. | |
nist-sp-800-53-r5-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | Anti-Penyangkalan AU-10 |
nist-sp-800-53-r5-nodes-have-consistent-time | Memastikan waktu yang konsisten dan tepat di Node dengan hanya mengizinkan Container-Optimized OS (COS) atau Ubuntu sebagai OS image. | Stempel Waktu AU-8 |
nist-sp-800-53-r5-require-namespace-network-policies | Setiap namespace yang ditentukan di cluster harus memiliki NetworkPolicy. | Koneksi Sistem Internal CA-9 |
nist-sp-800-53-r5-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | Komponen yang Ditandatangani CM-14 |
nist-sp-800-53-r5-enforce-config-management | Memerlukan Config Sync yang sedang berjalan dan Drift Prevention diaktifkan dengan minimal satu objek `RootSync` di cluster. | Konfigurasi Dasar Pengukuran CM-2 |
nist-sp-800-53-r5-require-managed-by-label | Mewajibkan semua aplikasi memiliki label `app.kubernetes.io/managed-by` yang valid. | |
nist-sp-800-53-r5-apparmor | Membatasi profil AppArmor yang diizinkan untuk Pod. | Kontrol Perubahan Konfigurasi CM-3 |
nist-sp-800-53-r5-block-secrets-of-type-basic-auth | Membatasi penggunaan secret jenis autentikasi dasar. | |
nist-sp-800-53-r5-capabilities | Membatasi Kemampuan tambahan yang diizinkan untuk Pod. | |
nist-sp-800-53-r5-enforce-config-management | Memerlukan Config Sync yang sedang berjalan dan Drift Prevention diaktifkan dengan minimal satu objek `RootSync` di cluster. | |
nist-sp-800-53-r5-host-namespaces | Membatasi penampung dengan `hostPID` atau `hostIPC` yang ditetapkan ke `true`. | |
nist-sp-800-53-r5-host-network | Membatasi container agar tidak dijalankan dengan tanda `hostNetwork` disetel ke `true`. | |
nist-sp-800-53-r5-privileged-containers | Membatasi penampung dengan `securityContext.privileged` yang ditetapkan ke `true`. | |
nist-sp-800-53-r5-proc-mount-type | Memerlukan mask `/proc` default untuk Pod | |
nist-sp-800-53-r5-require-managed-by-label | Mewajibkan semua aplikasi memiliki label `app.kubernetes.io/managed-by` yang valid. | |
nist-sp-800-53-r5-restrict-hostpath-volumes | Membatasi penggunaan volume HostPath. | |
nist-sp-800-53-r5-restrict-volume-types | Membatasi jenis volume yang dapat dipasang ke daftar yang diizinkan. | |
nist-sp-800-53-r5-seccomp | Profil Seccomp tidak boleh ditetapkan secara eksplisit ke `Unconfined`. | |
nist-sp-800-53-r5-selinux | Membatasi konfigurasi SELinux untuk Pod. | |
nist-sp-800-53-r5-sysctls | Membatasi Sysctls yang diizinkan untuk Pod. | |
nist-sp-800-53-r5-enforce-config-management | Memerlukan Config Sync yang sedang berjalan dan Drift Prevention diaktifkan dengan minimal satu objek `RootSync` di cluster. | Analisis Dampak Keamanan CM-4 |
nist-sp-800-53-r5-require-managed-by-label | Mewajibkan semua aplikasi memiliki label `app.kubernetes.io/managed-by` yang valid. | |
nist-sp-800-53-r5-restrict-clusteradmin-rolebindings | Membatasi penggunaan peran `cluster-admin`. | |
nist-sp-800-53-r5-enforce-config-management | Memerlukan Config Sync yang sedang berjalan dan Drift Prevention diaktifkan dengan minimal satu objek `RootSync` di cluster. | Pembatasan Akses CM-5 untuk Perubahan |
nist-sp-800-53-r5-require-managed-by-label | Mewajibkan semua aplikasi memiliki label `app.kubernetes.io/managed-by` yang valid. | |
nist-sp-800-53-r5-restrict-clusteradmin-rolebindings | Membatasi penggunaan peran `cluster-admin`. | |
nist-sp-800-53-r5-block-secrets-of-type-basic-auth | Membatasi penggunaan secret jenis autentikasi dasar. | Setelan Konfigurasi CM-6 |
nist-sp-800-53-r5-enforce-config-management | Memerlukan Config Sync yang sedang berjalan dan Drift Prevention diaktifkan dengan minimal satu objek `RootSync` di cluster. | |
nist-sp-800-53-r5-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | |
nist-sp-800-53-r5-require-managed-by-label | Mewajibkan semua aplikasi memiliki label `app.kubernetes.io/managed-by` yang valid. | |
nist-sp-800-53-r5-restrict-hostpath-volumes | Membatasi penggunaan volume HostPath. | |
nist-sp-800-53-r5-restrict-volume-types | Membatasi jenis volume yang dapat dipasang ke daftar yang diizinkan. | |
nist-sp-800-53-r5-apparmor | Membatasi profil AppArmor yang diizinkan untuk Pod. | Fungsi Paling Longgar CM-7 |
nist-sp-800-53-r5-capabilities | Membatasi Kemampuan tambahan yang diizinkan untuk Pod. | |
nist-sp-800-53-r5-host-namespaces | Membatasi penampung dengan `hostPID` atau `hostIPC` yang ditetapkan ke `true`. | |
nist-sp-800-53-r5-host-network | Membatasi container agar tidak dijalankan dengan tanda `hostNetwork` disetel ke `true`. | |
nist-sp-800-53-r5-privileged-containers | Membatasi penampung dengan `securityContext.privileged` yang ditetapkan ke `true`. | |
nist-sp-800-53-r5-proc-mount-type | Memerlukan mask `/proc` default untuk Pod | |
nist-sp-800-53-r5-restrict-clusteradmin-rolebindings | Membatasi penggunaan peran `cluster-admin`. | |
nist-sp-800-53-r5-restrict-hostpath-volumes | Membatasi penggunaan volume HostPath. | |
nist-sp-800-53-r5-restrict-volume-types | Membatasi jenis volume yang dapat dipasang ke daftar yang diizinkan. | |
nist-sp-800-53-r5-seccomp | Profil Seccomp tidak boleh ditetapkan secara eksplisit ke `Unconfined`. | |
nist-sp-800-53-r5-selinux | Membatasi konfigurasi SELinux untuk Pod. | |
nist-sp-800-53-r5-sysctls | Membatasi Sysctls yang diizinkan untuk Pod. | |
nist-sp-800-53-r5-enforce-config-management | Memerlukan Config Sync yang sedang berjalan dan Drift Prevention diaktifkan dengan minimal satu objek `RootSync` di cluster. | Pemulihan dan Rekonstitusi Sistem Informasi CP-10 |
nist-sp-800-53-r5-require-managed-by-label | Mewajibkan semua aplikasi memiliki label `app.kubernetes.io/managed-by` yang valid. | |
nist-sp-800-53-r5-enforce-config-management | Memerlukan Config Sync yang sedang berjalan dan Drift Prevention diaktifkan dengan minimal satu objek `RootSync` di cluster. | Pencadangan Sistem CP-9 |
nist-sp-800-53-r5-require-managed-by-label | Mewajibkan semua aplikasi memiliki label `app.kubernetes.io/managed-by` yang valid. | |
nist-sp-800-53-r5-restrict-rbac-subjects | Membatasi penggunaan nama dalam subjek RBAC pada nilai yang diizinkan. | Identifikasi dan Autentikasi IA-2 (Pengguna Organisasi) |
nist-sp-800-53-r5-block-creation-with-default-serviceaccount | Membatasi pembuatan resource menggunakan akun layanan default. | Pengelolaan ID IA-4 |
nist-sp-800-53-r5-restrict-rbac-subjects | Membatasi penggunaan nama dalam subjek RBAC pada nilai yang diizinkan. | |
nist-sp-800-53-r5-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | Pengelolaan Authenticator IA-5 |
nist-sp-800-53-r5-restrict-rbac-subjects | Membatasi penggunaan nama dalam subjek RBAC pada nilai yang diizinkan. | |
nist-sp-800-53-r5-restrict-rbac-subjects | Membatasi penggunaan nama dalam subjek RBAC pada nilai yang diizinkan. | MA-4 Pemeliharaan Nonlokal |
nist-sp-800-53-r5-enforce-config-management | Memerlukan Config Sync yang sedang berjalan dan Drift Prevention diaktifkan dengan minimal satu objek `RootSync` di cluster. | Kebijakan dan Prosedur PL-1 |
nist-sp-800-53-r5-require-managed-by-label | Mewajibkan semua aplikasi memiliki label `app.kubernetes.io/managed-by` yang valid. | |
nist-sp-800-53-r5-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | Pemindaian Kerentanan RA-5 |
nist-sp-800-53-r5-enforce-config-management | Memerlukan Config Sync yang sedang berjalan dan Drift Prevention diaktifkan dengan minimal satu objek `RootSync` di cluster. | Pengelolaan Konfigurasi Developer SA-10 |
nist-sp-800-53-r5-require-managed-by-label | Mewajibkan semua aplikasi memiliki label `app.kubernetes.io/managed-by` yang valid. | |
nist-sp-800-53-r5-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | Jalur Tepercaya SA-11 |
nist-sp-800-53-r5-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | Siklus Hidup Pengembangan Sistem SA-3 |
nist-sp-800-53-r5-block-secrets-of-type-basic-auth | Membatasi penggunaan secret jenis autentikasi dasar. | Prinsip Security and Privacy Engineering SA-8 |
nist-sp-800-53-r5-restrict-hostpath-volumes | Membatasi penggunaan volume HostPath. | |
nist-sp-800-53-r5-restrict-volume-types | Membatasi jenis volume yang dapat dipasang ke daftar yang diizinkan. | |
nist-sp-800-53-r5-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | Pembuatan dan Pengelolaan Kunci Kriptografis SC-12 |
nist-sp-800-53-r5-restrict-storageclass | Membatasi `StorageClass` ke daftar `StorageClass` yang dienkripsi secara default. | Perlindungan Informasi dalam Penyimpanan SC-28 |
nist-sp-800-53-r5-require-namespace-network-policies | Setiap namespace yang ditentukan di cluster harus memiliki NetworkPolicy. | Informasi SC-4 di Materi Bersama |
nist-sp-800-53-r5-cpu-and-memory-limits-required | Memerlukan Pod yang menentukan batas cpu dan memori. | Ketersediaan Resource SC-6 |
nist-sp-800-53-r5-block-secrets-of-type-basic-auth | Membatasi penggunaan secret jenis autentikasi dasar. | Perlindungan terhadap Batas SC-7 |
nist-sp-800-53-r5-enforce-config-management | Memerlukan Config Sync yang sedang berjalan dan Drift Prevention diaktifkan dengan minimal satu objek `RootSync` di cluster. | |
nist-sp-800-53-r5-require-managed-by-label | Mewajibkan semua aplikasi memiliki label `app.kubernetes.io/managed-by` yang valid. | |
nist-sp-800-53-r5-require-namespace-network-policies | Setiap namespace yang ditentukan di cluster harus memiliki NetworkPolicy. | |
nist-sp-800-53-r5-restrict-hostpath-volumes | Membatasi penggunaan volume HostPath. | |
nist-sp-800-53-r5-restrict-volume-types | Membatasi jenis volume yang dapat dipasang ke daftar yang diizinkan. | |
nist-sp-800-53-r5-asm-peer-authn-strict-mtls | Memastikan PeerAuthentications tidak dapat menimpa mTLS yang ketat. | Kerahasiaan dan Integritas Transmisi SC-8 |
nist-sp-800-53-r5-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | Pengelolaan dan Retensi Informasi SI-12 |
nist-sp-800-53-r5-restrict-storageclass | Membatasi `StorageClass` ke daftar `StorageClass` yang dienkripsi secara default. | |
nist-sp-800-53-r5-require-av-daemonset | Memerlukan adanya daemonset Anti-Virus. | Perlindungan Kode Berbahaya SI-3 |
nist-sp-800-53-r5-block-secrets-of-type-basic-auth | Membatasi penggunaan secret jenis autentikasi dasar. | Software, Firmware, dan Integritas Informasi SI-7 |
nist-sp-800-53-r5-enforce-config-management | Memerlukan Config Sync yang sedang berjalan dan Drift Prevention diaktifkan dengan minimal satu objek `RootSync` di cluster. | |
nist-sp-800-53-r5-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | |
nist-sp-800-53-r5-require-managed-by-label | Mewajibkan semua aplikasi memiliki label `app.kubernetes.io/managed-by` yang valid. | |
nist-sp-800-53-r5-restrict-hostpath-volumes | Membatasi penggunaan volume HostPath. | |
nist-sp-800-53-r5-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | Provenance SR-4 |
Sebelum memulai
- Menginstal dan melakukan inisialisasi Google Cloud CLI
, yang menyediakan perintah
gcloud
dankubectl
yang digunakan dalam petunjuk. Jika Anda menggunakan Cloud Shell, Google Cloud CLI yang sudah diinstal sebelumnya. - Menginstal Pengontrol Kebijakan di cluster Anda dengan library default batasan template. Anda juga harus mengaktifkan dukungan untuk referensial batasan karena paket ini berisi batasan referensial.
Mengonfigurasi Pengontrol Kebijakan untuk batasan referensial
Simpan manifes YAML berikut ke file sebagai
policycontroller-config.yaml
. Manifes mengonfigurasi Pengontrol Kebijakan untuk mengawasi jenis objek tertentu.apiVersion: config.gatekeeper.sh/v1alpha1 kind: Config metadata: name: config namespace: "gatekeeper-system" spec: sync: syncOnly: - group: "apps" version: "v1" kind: "DaemonSet" - group: "networking.k8s.io" version: "v1" kind: "NetworkPolicy" - group: "configsync.gke.io" version: "v1beta1" kind: "RootSync" - group: "storage.k8s.io" version: "v1" kind: "StorageClass" - group: "admissionregistration.k8s.io" version: "v1" kind: "ValidatingWebhookConfiguration"
Terapkan manifes
policycontroller-config.yaml
:kubectl apply -f policycontroller-config.yaml
Mengonfigurasi cluster dan workload Anda
- Pengaktifan dan konfigurasi Config Sync
termasuk tiket masuk Drift Prevention
webhook diperlukan di
nist-sp-800-53-r5-enforce-config-management
. - Solusi antivirus diperlukan. Defaultnya adalah adanya
daemonset
bernamaclamav
diclamav
namespace
, tetapi nama dan namespacedaemonset
dapat disesuaikan dengan implementasi Anda di Batasannist-sp-800-53-r5-require-av-daemonset
. - Image container dibatasi pada daftar repositori yang diizinkan, yang dapat
disesuaikan jika diperlukan di
nist-sp-800-53-r5-restrict-repos
. - Node harus menggunakan Container-Optimized OS atau Ubuntu
untuk gambarnya di
nist-sp-800-53-r5-nodes-have-consistent-time
. - Penggunaan kelas penyimpanan dibatasi sesuai daftar yang diizinkan, yang dapat
disesuaikan untuk menambahkan kelas lain dengan enkripsi default
nist-sp-800-53-r5-restrict-storageclass
. Pengaktifan dan konfigurasi Otorisasi Biner diperlukan dalam
nist-sp-800-53-r5-require-binauthz
.
Paket kebijakan Audit NIST SP 800-53 Rev. 5
Pengontrol Kebijakan dapat digunakan untuk menerapkan kebijakan untuk cluster Kubernetes. Untuk membantu menguji beban kerja dan kepatuhannya terhadap NIST SP 800-53 kebijakan yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan tersebut "audit" mode untuk mengungkapkan pelanggaran dan yang lebih penting lagi, beri diri Anda kesempatan untuk memperbaikinya sebelum menerapkannya di cluster Kubernetes Anda.
Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction
yang disetel ke dryrun
menggunakan
kubectl,
kpt
, atau
Sinkronisasi Konfigurasi
kami.
kubectl
(Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:
kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-53-r5
Terapkan batasan kebijakan dengan kubectl:
kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-53-r5
Outputnya adalah sebagai berikut:
asmpeerauthnstrictmtls.constraints.gatekeeper.sh/nist-sp-800-53-r5-asm-peer-authn-strict-mtls created k8sallowedrepos.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-repos created k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/nist-sp-800-53-r5-block-creation-with-default-serviceaccount created k8sblockobjectsoftype.constraints.gatekeeper.sh/nist-sp-800-53-r5-block-secrets-of-type-basic-auth created k8senforceconfigmanagement.constraints.gatekeeper.sh/nist-sp-800-53-r5-enforce-config-management created k8spspapparmor.constraints.gatekeeper.sh/nist-sp-800-53-r5-apparmor created k8spspcapabilities.constraints.gatekeeper.sh/nist-sp-800-53-r5-capabilities created k8spspforbiddensysctls.constraints.gatekeeper.sh/nist-sp-800-53-r5-sysctls created k8spsphostfilesystem.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-hostpath-volumes created k8spsphostnamespace.constraints.gatekeeper.sh/nist-sp-800-53-r5-host-namespaces created k8spsphostnetworkingports.constraints.gatekeeper.sh/nist-sp-800-53-r5-host-network created k8spspprivilegedcontainer.constraints.gatekeeper.sh/nist-sp-800-53-r5-privileged-containers created k8spspprocmount.constraints.gatekeeper.sh/nist-sp-800-53-r5-proc-mount-type created k8spspselinuxv2.constraints.gatekeeper.sh/nist-sp-800-53-r5-selinux created k8spspseccomp.constraints.gatekeeper.sh/nist-sp-800-53-r5-seccomp created k8spspvolumetypes.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-volume-types created k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-role-wildcards created k8srequirebinauthz.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-binauthz created k8srequirecosnodeimage.constraints.gatekeeper.sh/nist-sp-800-53-r5-nodes-have-consistent-time created k8srequiredaemonsets.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-av-daemonset created k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-namespace-network-policies created k8srequiredlabels.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-managed-by-label created k8srequiredresources.constraints.gatekeeper.sh/nist-sp-800-53-r5-cpu-and-memory-limits-required created k8srestrictrbacsubjects.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-rbac-subjects created k8srestrictrolebindings.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-clusteradmin-rolebindings created k8sstorageclass.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-storageclass created
Pastikan batasan kebijakan telah diinstal dan periksa apakah terdapat pelanggaran di seluruh cluster:
kubectl get constraints -l policycontroller.gke.io/bundleName=nist-sp-800-53-r5
Outputnya mirip dengan hal berikut ini:
NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspapparmor.constraints.gatekeeper.sh/nist-sp-800-53-r5-apparmor dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirebinauthz.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-binauthz dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrbacsubjects.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-rbac-subjects dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspforbiddensysctls.constraints.gatekeeper.sh/nist-sp-800-53-r5-sysctls dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspvolumetypes.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-volume-types dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnetworkingports.constraints.gatekeeper.sh/nist-sp-800-53-r5-host-network dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnamespace.constraints.gatekeeper.sh/nist-sp-800-53-r5-host-namespaces dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredaemonsets.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-av-daemonset dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-role-wildcards dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/nist-sp-800-53-r5-block-creation-with-default-serviceaccount dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostfilesystem.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-hostpath-volumes dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspseccomp.constraints.gatekeeper.sh/nist-sp-800-53-r5-seccomp dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS asmpeerauthnstrictmtls.constraints.gatekeeper.sh/nist-sp-800-53-r5-asm-peer-authn-strict-mtls dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredresources.constraints.gatekeeper.sh/nist-sp-800-53-r5-cpu-and-memory-limits-required dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspprocmount.constraints.gatekeeper.sh/nist-sp-800-53-r5-proc-mount-type dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockobjectsoftype.constraints.gatekeeper.sh/nist-sp-800-53-r5-block-secrets-of-type-basic-auth dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-namespace-network-policies dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspcapabilities.constraints.gatekeeper.sh/nist-sp-800-53-r5-capabilities dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sstorageclass.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-storageclass dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredlabels.constraints.gatekeeper.sh/nist-sp-800-53-r5-require-managed-by-label dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspprivilegedcontainer.constraints.gatekeeper.sh/nist-sp-800-53-r5-privileged-containers dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sallowedrepos.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-repos dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspselinuxv2.constraints.gatekeeper.sh/nist-sp-800-53-r5-selinux dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8senforceconfigmanagement.constraints.gatekeeper.sh/nist-sp-800-53-r5-enforce-config-management dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrolebindings.constraints.gatekeeper.sh/nist-sp-800-53-r5-restrict-clusteradmin-rolebindings dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirecosnodeimage.constraints.gatekeeper.sh/nist-sp-800-53-r5-nodes-have-consistent-time dryrun 0
kpt
Instal dan siapkan kpt.
kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy Kubernetes Google Cloud Platform.
Download paket kebijakan NIST SP 800-53 Rev. 5 dari GitHub menggunakan kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-53-r5
Jalankan
set-enforcement-action
fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadapdryrun
:kpt fn eval nist-sp-800-53-r5 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \ -- enforcementAction=dryrun
Menginisialisasi direktori kerja dengan kpt, yang membuat resource untuk lacak perubahan:
cd nist-sp-800-53-r5 kpt live init
Terapkan batasan kebijakan dengan kpt:
kpt live apply
Pastikan batasan kebijakan telah diinstal dan periksa apakah terdapat pelanggaran di seluruh cluster:
kpt live status --output table --poll-until current
Status
CURRENT
mengonfirmasi keberhasilan penginstalan batasan.
Config Sync
Instal dan siapkan kpt.
kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy Kubernetes Google Cloud Platform.
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:
Ubah ke direktori sinkronisasi untuk Config Sync:
cd SYNC_ROOT_DIR
Untuk membuat atau menambahkan
.gitignore
denganresourcegroup.yaml
:echo resourcegroup.yaml >> .gitignore
Buat direktori
policies
khusus:mkdir -p policies
Download paket kebijakan NIST SP 800-53 Rev. 5 dari GitHub menggunakan kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nist-sp-800-53-r5 policies/nist-sp-800-53-r5
Jalankan
set-enforcement-action
fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadapdryrun
:kpt fn eval policies/nist-sp-800-53-r5 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
(Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:
kpt live init policies/nist-sp-800-53-r5 kpt live apply --dry-run policies/nist-sp-800-53-r5
Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Sesuaikan, tambahkan
policies/nist-sp-800-53-r5
kekustomization.yaml
root Anda. Jika tidak, hapus filepolicies/nist-sp-800-53-r5/kustomization.yaml
:rm SYNC_ROOT_DIR/policies/nist-sp-800-53-r5/kustomization.yaml
Mengirim perubahan ke repo Config Sync:
git add SYNC_ROOT_DIR/policies/nist-sp-800-53-r5 git commit -m 'Adding NIST SP 800-53 Rev. 5 policy audit enforcement' git push
Verifikasi status penginstalan:
watch gcloud beta container fleet config-management status --project PROJECT_ID
Status
SYNCED
mengonfirmasi penginstalan kebijakan.
Lihat pelanggaran kebijakan
Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran di dapat dilihat di UI menggunakan Pengontrol Kebijakan Dasbor.
Anda juga dapat menggunakan
kubectl
untuk melihat pelanggaran di cluster menggunakan berikut:kubectl get constraint -l policycontroller.gke.io/bundleName=nist-sp-800-53-r5 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
Jika ditemukan pelanggaran, daftar pesan pelanggaran per batasan dapat dilihat dengan:
kubectl get constraint -l policycontroller.gke.io/bundleName=nist-sp-800-53-r5 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
Mengubah tindakan penegakan paket kebijakan NIST SP 800-53 Rev. 5
Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan
mengubah mode penerapan sehingga Pengontrol Penerimaan akan warn
aktif
atau bahkan deny
akan memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.
kubectl
Gunakan kubectl untuk menetapkan kebijakan' tindakan penegakan kebijakan untuk
warn
:kubectl get constraints -l policycontroller.gke.io/bundleName=nist-sp-800-53-r5 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
Pastikan tindakan penegakan batasan kebijakan telah diperbarui:
kubectl get constraints -l policycontroller.gke.io/bundleName=nist-sp-800-53-r5
kpt
Jalankan
set-enforcement-action
fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadapwarn
:kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Terapkan batasan kebijakan:
kpt live apply
Config Sync
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:
Ubah ke direktori sinkronisasi untuk Config Sync:
cd SYNC_ROOT_DIR
Jalankan
set-enforcement-action
fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadapwarn
:kpt fn eval policies/nist-sp-800-53-r5 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Mengirim perubahan ke repo Config Sync:
git add SYNC_ROOT_DIR/policies/nist-sp-800-53-r5 git commit -m 'Adding NIST SP 800-53 Rev. 5 policy warn enforcement' git push
Verifikasi status penginstalan:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Repositori Anda yang muncul di kolom
SYNCED
mengonfirmasi penginstalan kebijakan izin yang relevan.
Menguji penerapan kebijakan
Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:
cat <<EOF | kubectl apply -f - apiVersion: v1 kind: Pod metadata: name: wp-non-compliant spec: containers: ‐ image: wordpress name: wordpress EOF
Pengontrol penerimaan harus memberikan peringatan yang mencantumkan kebijakan pelanggaran yang dilanggar oleh resource ini, seperti yang ditunjukkan dalam contoh berikut:
Warning: [nist-sp-800-53-r5-cpu-and-memory-limits-required] container <wordpress> does not have <{"cpu", "memory"}> limits defined Warning: [nist-sp-800-53-r5-restrict-repos] container <wordpress> has an invalid image repo <wordpress>, allowed repos are ["gcr.io/gke-release/", "gcr.io/anthos-baremetal-release/", "gcr.io/config-management-release/", "gcr.io/kubebuilder/", "gcr.io/gkeconnect/", "gke.gcr.io/"] pod/wp-non-compliant created
Menghapus paket kebijakan NIST SP 800-53 Rev. 5
Jika diperlukan, paket kebijakan NIST SP 800-53 Rev. 5 dapat dihapus dari .
kubectl
Gunakan kubectl untuk menghapus kebijakan:
kubectl delete constraint -l policycontroller.gke.io/bundleName=nist-sp-800-53-r5
kpt
Hapus kebijakan:
kpt live destroy
Config Sync
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:
Mengirim perubahan ke repo Config Sync:
git rm -r SYNC_ROOT_DIR/policies/nist-sp-800-53-r5 git commit -m 'Removing NIST SP 800-53 Rev. 5 policies' git push
Verifikasi statusnya:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Repositori Anda yang muncul di kolom
SYNCED
mengonfirmasi penghapusan kebijakan tersebut.