Pengontrol Kebijakan dilengkapi dengan library default template batasan yang dapat digunakan bersama National Security Agency (NSA) Cybersecurity and Infrastructure Security Agency (CISA) Panduan Hardening Kubernetes v1.2 untuk mengevaluasi kepatuhan resource cluster Anda terhadap beberapa aspek NSA CISA Kubernetes Hardening Guide v1.2.
Batasan paket kebijakan NSA CISA Kubernetes Hardening v1.2
Nama Batasan | Deskripsi Batasan |
---|---|
nsa-cisa-k8s-v1.2-apparmor | Membatasi profil `AppArmor` untuk Pod. |
nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod | Membatasi Pod agar tidak menggunakan `automountServiceAccountToken`. |
nsa-cisa-k8s-v1.2-block-all-ingress | Membatasi pembuatan objek `Ingress`. |
nsa-cisa-k8s-v1.2-block-secrets-of-type-basic-auth | Membatasi penggunaan secret jenis `kubernetes.io/basic-auth`. |
nsa-cisa-k8s-v1.2-capabilities | Container harus menghentikan semua kemampuan, dan tidak diizinkan untuk menambahkan kembali kemampuan apa pun. |
nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required | Semua pod workload harus menentukan batas `cpu` dan `memory`. |
nsa-cisa-k8s-v1.2-host-namespaces | Membatasi penampung dengan `hostPID` atau `hostIPC` yang disetel ke `true`. |
nsa-cisa-k8s-v1.2-host-namespaces-hostnetwork | Berbagi namespace host tidak boleh dilakukan. |
nsa-cisa-k8s-v1.2-host-network | Membatasi container agar tidak berjalan dengan tanda `hostNetwork` yang ditetapkan ke `true`. |
nsa-cisa-k8s-v1.2-hostport | Membatasi container agar tidak berjalan dengan `hostPort` yang dikonfigurasi. |
nsa-cisa-k8s-v1.2-privilege-escalation | Membatasi penampung dengan `allowIllegalEskalasi` yang ditetapkan ke `true`. |
nsa-cisa-k8s-v1.2-privileged-containers | Membatasi penampung dengan `securityContext.privileged` yang ditetapkan ke `true`. |
nsa-cisa-k8s-v1.2-readonlyrootfilesystem | Mewajibkan penggunaan sistem file root hanya baca oleh container pod. |
nsa-cisa-k8s-v1.2-require-namespace-network-policies | Mengharuskan setiap namespace yang ditentukan dalam cluster memiliki `NetworkPolicy`. |
nsa-cisa-k8s-v1.2-restrict-clusteradmin-rolebindings | Membatasi penggunaan peran `cluster-admin`. |
nsa-cisa-k8s-v1.2-restrict-edit-rolebindings | Membatasi penggunaan peran `edit`. |
nsa-cisa-k8s-v1.2-restrict-hostpath-volumes | Membatasi penggunaan volume `HostPath`. |
nsa-cisa-k8s-v1.2-restrict-pods-exec | Membatasi penggunaan `pods/exec` dalam `Roles` dan `ClusterRoles`. |
nsa-cisa-k8s-v1.2-running-as-non-root | Membatasi container agar tidak dijalankan sebagai pengguna root. |
nsa-cisa-k8s-v1.2-seccomp | Profil Seccomp tidak boleh ditetapkan secara eksplisit ke `Unconfined`. |
nsa-cisa-k8s-v1.2-selinux | Tidak dapat menetapkan jenis SELinux atau menetapkan opsi pengguna atau peran SELinux kustom. |
Sebelum memulai
- Instal dan inisialisasi Google Cloud CLI, yang menyediakan perintah
gcloud
dankubectl
yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah diinstal sebelumnya. - Instal Pengontrol Kebijakan di cluster Anda dengan library default template batasan. Anda juga harus mengaktifkan dukungan untuk batasan referensi karena paket ini berisi batasan referensial.
Mengonfigurasi Pengontrol Kebijakan untuk batasan referensial
Simpan manifes YAML berikut ke file sebagai
policycontroller-config.yaml
. Manifes mengonfigurasi Pengontrol Kebijakan untuk mengawasi jenis objek tertentu.apiVersion: config.gatekeeper.sh/v1alpha1 kind: Config metadata: name: config namespace: "gatekeeper-system" spec: sync: syncOnly: - group: "networking.k8s.io" version: "v1" kind: "NetworkPolicy"
Terapkan manifes
policycontroller-config.yaml
:kubectl apply -f policycontroller-config.yaml
Audit paket kebijakan NSA CISA Kubernetes Hardening v1.2
Dengan Pengontrol Kebijakan, Anda dapat menerapkan kebijakan untuk cluster Kubernetes Anda. Untuk membantu menguji workload Anda dan kepatuhannya terhadap kebijakan NSA CISA Kubernetes Hardening Guide v1.2 yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkapkan pelanggaran dan yang lebih penting lagi, beri diri Anda kesempatan untuk memperbaikinya sebelum secara opsional menerapkannya pada cluster Kubernetes Anda.
Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction
yang disetel ke dryrun
menggunakan
kubectl,
kpt
, atau
Config Sync
.
kubectl
(Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:
kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2
Terapkan batasan kebijakan dengan kubectl:
kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2
Output-nya adalah sebagai berikut:
k8sblockallingress.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-all-ingress created k8sblockobjectsoftype.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-secrets-of-type-basic-auth created k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privilege-escalation created k8spspallowedusers.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-running-as-non-root created k8spspapparmor.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-apparmor created k8spspautomountserviceaccounttokenpod.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod created k8spspcapabilities.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-capabilities created k8spsphostfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-hostpath-volumes created k8spsphostnamespace.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-namespaces created k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-network created k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-hostport created k8spspprivilegedcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privileged-containers created k8spspreadonlyrootfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-readonlyrootfilesystem created k8spspselinuxv2.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-selinux created k8spspseccomp.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-seccomp created k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-require-namespace-network-policies created k8srequiredresources.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required created k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-clusteradmin-rolebindings created k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-edit-rolebindings created k8srestrictrolerules.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-pods-exec created
Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:
kubectl get constraints -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2
Outputnya mirip dengan hal berikut ini:
NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockallingress.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-all-ingress dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockobjectsoftype.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-secrets-of-type-basic-auth dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspallowedusers.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-running-as-non-root dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privilege-escalation dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspapparmor.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-apparmor dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspautomountserviceaccounttokenpod.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspcapabilities.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-capabilities dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-hostpath-volumes dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnamespace.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-namespaces dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-network dryrun 0 k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-hostport dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspprivilegedcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privileged-containers dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspreadonlyrootfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-readonlyrootfilesystem dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspseccomp.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-seccomp dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspselinuxv2.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-selinux dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredresources.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-require-namespace-network-policies dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-clusteradmin-rolebindings dryrun 0 k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-edit-rolebindings dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrolerules.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-pods-exec dryrun 0
kpt
Instal dan siapkan kpt.
kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.
Download paket kebijakan NSA CISA Kubernetes Hardening Guide v1.2 dari GitHub menggunakan kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kedryrun
:kpt fn eval nsa-cisa-k8s-v1.2 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \ -- enforcementAction=dryrun
Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:
cd nsa-cisa-k8s-v1.2 kpt live init
Terapkan batasan kebijakan dengan kpt:
kpt live apply
Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:
kpt live status --output table --poll-until current
Status
CURRENT
mengonfirmasi penginstalan batasan yang berhasil.
Config Sync
Instal dan siapkan kpt.
kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Ubah ke direktori sinkronisasi untuk Config Sync:
cd SYNC_ROOT_DIR
Untuk membuat atau menambahkan
.gitignore
denganresourcegroup.yaml
:echo resourcegroup.yaml >> .gitignore
Buat direktori
policies
khusus:mkdir -p policies
Download paket kebijakan NSA CISA Kubernetes Hardening Guide v1.2 dari GitHub menggunakan kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2 policies/nsa-cisa-k8s-v1.2
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kedryrun
:kpt fn eval policies/nsa-cisa-k8s-v1.2 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
(Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:
kpt live init policies/nsa-cisa-k8s-v1.2 kpt live apply --dry-run policies/nsa-cisa-k8s-v1.2
Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Kustomize, tambahkan
policies/nsa-cisa-k8s-v1.2
kekustomization.yaml
root Anda. Jika tidak, hapus filepolicies/nsa-cisa-k8s-v1.2/kustomization.yaml
:rm SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2/kustomization.yaml
Kirim perubahan ke repo Config Sync:
git add SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2 git commit -m 'Adding NSA CISA Kubernetes Hardening v1.2 policy audit enforcement' git push
Verifikasi status penginstalan:
watch gcloud beta container fleet config-management status --project PROJECT_ID
Status
SYNCED
mengonfirmasi penginstalan kebijakan.
Lihat pelanggaran kebijakan
Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.
Anda juga dapat menggunakan kubectl
untuk melihat pelanggaran di cluster menggunakan perintah berikut:
kubectl get constraint -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
Jika ada pelanggaran, listingan pesan pelanggaran per batasan dapat dilihat dengan:
kubectl get constraint -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
Mengubah tindakan penegakan paket kebijakan NSA CISA Kubernetes Hardening v1.2
Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan
untuk mengubah mode penerapan sehingga Pengontrol Pendaftaran akan warn
aktif
atau bahkan deny
memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.
kubectl
Gunakan kubectl untuk menetapkan tindakan penerapan kebijakan ke
warn
:kubectl get constraints -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
Pastikan tindakan penerapan batasan kebijakan telah diperbarui:
kubectl get constraints -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2
kpt
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kewarn
:kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Terapkan batasan kebijakan:
kpt live apply
Config Sync
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Ubah ke direktori sinkronisasi untuk Config Sync:
cd SYNC_ROOT_DIR
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kewarn
:kpt fn eval policies/nsa-cisa-k8s-v1.2 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Kirim perubahan ke repo Config Sync:
git add SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2 git commit -m 'Adding NSA CISA Kubernetes Hardening v1.2 policy warn enforcement' git push
Verifikasi status penginstalan:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Repositori Anda yang muncul di kolom
SYNCED
mengonfirmasi penginstalan kebijakan.
Menguji penegakan kebijakan
Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:
cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
namespace: default
name: wp-non-compliant
labels:
app: wordpress
spec:
containers:
- image: wordpress
name: wordpress
ports:
- containerPort: 80
name: wordpress
EOF
Pengontrol penerimaan harus menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilanggar oleh resource ini, seperti ditunjukkan dalam contoh berikut:
Warning: [nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod] Automounting service account token is disallowed, pod: wp-non-compliant Warning: [nsa-cisa-k8s-v1.2-running-as-non-root] Container wordpress is attempting to run without a required securityContext/runAsGroup. Allowed runAsGroup: {"ranges": [{"max": 65536, "min": 1000}], "rule": "MustRunAs"} Warning: [nsa-cisa-k8s-v1.2-running-as-non-root] Container wordpress is attempting to run without a required securityContext/runAsUser Warning: [nsa-cisa-k8s-v1.2-privilege-escalation] Privilege escalation container is not allowed: wordpress Warning: [nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required] container <wordpress> does not have <{"cpu", "memory"}> limits defined Warning: [nsa-cisa-k8s-v1.2-capabilities] container <wordpress> is not dropping all required capabilities. Container must drop all of ["ALL"] or "ALL" Warning: [nsa-cisa-k8s-v1.2-readonlyrootfilesystem] only read-only root filesystem container is allowed: wordpress pod/wp-non-compliant created
Menghapus paket kebijakan NSA CISA Kubernetes Hardening v1.2
Jika diperlukan, paket kebijakan NSA CISA Kubernetes Hardening v1.2 dapat dihapus dari cluster.
kubectl
Gunakan kubectl untuk menghapus kebijakan:
kubectl delete constraint -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2
kpt
Hapus kebijakan:
kpt live destroy
Config Sync
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Kirim perubahan ke repo Config Sync:
git rm -r SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2 git commit -m 'Removing NSA CISA Kubernetes Hardening Guide v1.2 policies' git push
Verifikasi statusnya:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Repositori Anda yang muncul di kolom
SYNCED
mengonfirmasi penghapusan kebijakan.