Usar restrições da política de aumento da proteção do Kubernetes para a CISA da NSA

O Controlador de Políticas é fornecido com uma biblioteca padrão de modelos de restrição que podem ser usados com o pacote de política do guia de aumento da proteção do Kubernetes para a Agência de Segurança Cibernética e Infraestrutura (CISA) da Agência de Segurança Nacional (NSA) v1.2 para avaliar a conformidade dos recursos do cluster com alguns aspectos do Guia de aumento da proteção do Kubernetes para a CISA da NSA v1.2.

Esta página contém instruções para aplicar manualmente um pacote de políticas. Como alternativa, você pode aplicar pacotes de políticas diretamente.

Aviso:depois de escolher um método para aplicar pacotes de políticas (manual, CLI gcloud ou console do Google Cloud), usar um método diferente para instalar pacotes de políticas pode causar erros no seu ambiente.

Esta página é destinada a administradores e operadores de TI que querem usar e manter uma automação para garantir que todos os recursos em execução na plataforma de nuvem cumpram os requisitos de compliance organizacionais. Para saber mais sobre papéis comuns e tarefas de exemplo referenciados no conteúdo do Google Cloud, consulte Tarefas e papéis de usuário comuns do GKE Enterprise.

Restrições do pacote de políticas de aumento da proteção do Kubernetes na CISA para v1.2

Nome da restrição	Descrição da restrição
nsa-cisa-k8s-v1.2-apparmor	Restringe o perfil "AppArmor" para pods.
nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod	Restringe o uso de "automountServiceAccountToken" aos pods.
nsa-cisa-k8s-v1.2-block-all-ingress	Restringe a criação de objetos de entrada.
nsa-cisa-k8s-v1.2-block-secrets-of-type-basic-auth	Restringe o uso de secrets do tipo "kubernetes.io/basic-auth".
nsa-cisa-k8s-v1.2-capabilities	Os contêineres precisam descartar todos os recursos e não podem adicionar novamente nenhum outro.
nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required	Todos os pods de carga de trabalho precisam especificar os limites de "cpu" e "memória".
nsa-cisa-k8s-v1.2-host-namespaces	Restringe contêineres com "hostPID" ou "hostIPC" definido como "true".
nsa-cisa-k8s-v1.2-host-namespaces-hostnetwork	Não é permitido compartilhar os namespaces do host.
nsa-cisa-k8s-v1.2-host-network	Restringe a execução de contêineres com a sinalização "hostNetwork" definida como "true".
nsa-cisa-k8s-v1.2-hostport	Restringe a execução de contêineres com "hostPort" configurado.
nsa-cisa-k8s-v1.2-privilege-escalation	Restringe contêineres com "allowPrivilegeEscalation" definido como "true".
nsa-cisa-k8s-v1.2-privileged-containers	Restringe contêineres com "securityContext.privileged" como "true".
nsa-cisa-k8s-v1.2-readonlyrootfilesystem	Exige o uso de um sistema de arquivos raiz somente leitura por contêineres de pod.
nsa-cisa-k8s-v1.2-require-namespace-network-policies	Requer que cada namespace definido no cluster tenha uma "NetworkPolicy".
nsa-cisa-k8s-v1.2-restrict-clusteradmin-rolebindings	Restringe o uso do papel "cluster-admin".
nsa-cisa-k8s-v1.2-restrict-edit-rolebindings	Restringe o uso do papel "edit".
nsa-cisa-k8s-v1.2-restrict-hostpath-volumes	Restringe o uso de volumes do "HostPath".
nsa-cisa-k8s-v1.2-restrict-pods-exec	Restringe o uso de "pods/exec" em "Roles" e "ClusterRoles".
nsa-cisa-k8s-v1.2-running-as-non-root	Restringe a execução de contêineres como usuário raiz.
nsa-cisa-k8s-v1.2-seccomp	O perfil Seccomp não pode ser definido explicitamente como "Unconfined".
nsa-cisa-k8s-v1.2-selinux	Não é possível definir o tipo de SELinux ou uma opção de papel ou usuário personalizado do SELinux.

Antes de começar

1. Instale e inicialize a Google Cloud CLI, que fornece os comandos gcloud e kubectl usados nestas instruções. Se você usa o Cloud Shell, a Google Cloud CLI já vem pré-instalada.
2. Instale o Controlador de Políticas no cluster com a biblioteca padrão de modelos de restrição. Você também precisa ativar a compatibilidade com restrições referenciais, já que este pacote contém restrições referenciais.

Configurar o Controlador de Políticas com restrições referenciais

Aviso: é possível substituir suas próprias alterações. Se você já tiver um Config no namespace gatekeeper-system, inclua todas as configurações de personalização anteriores para preservar suas alterações.

1. Salve o seguinte manifesto YAML em um arquivo como policycontroller-config.yaml. O manifesto configura o Policy Controller para observar tipos específicos de objetos.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: "networking.k8s.io"
           version: "v1"
           kind: "NetworkPolicy"
   

2. Aplique o manifesto policycontroller-config.yaml:

   kubectl apply -f policycontroller-config.yaml
   

Auditar o pacote de políticas de aumento da proteção do Kubernetes v1.2 da NSA CISA

O Policy Controller permite aplicar políticas ao cluster do Kubernetes. Para ajudar a testar suas cargas de trabalho e a conformidade delas com as políticas do guia de aumento da proteção do Kubernetes para a CISA da NSA v1.2 descritas na tabela anterior, implante essas restrições no modo de "auditoria" a fim de revelar violações e, principalmente, ter a chance de corrigi-las antes de aplicá-las no cluster do Kubernetes.

É possível aplicar essas políticas com spec.enforcementAction definido como dryrun usando kubectl, kpt ou Config Sync .

kubectl

1. (Opcional) Visualize as restrições de política com o kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2
   

2. Aplique as restrições da política com o kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2
   

   A saída é esta:

   k8sblockallingress.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-all-ingress created
   k8sblockobjectsoftype.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-secrets-of-type-basic-auth created
   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privilege-escalation created
   k8spspallowedusers.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-running-as-non-root created
   k8spspapparmor.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-apparmor created
   k8spspautomountserviceaccounttokenpod.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod created
   k8spspcapabilities.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-capabilities created
   k8spsphostfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-hostpath-volumes created
   k8spsphostnamespace.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-namespaces created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-network created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-hostport created
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privileged-containers created
   k8spspreadonlyrootfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-readonlyrootfilesystem created
   k8spspselinuxv2.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-selinux created
   k8spspseccomp.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-seccomp created
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-require-namespace-network-policies created
   k8srequiredresources.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required created
   k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-clusteradmin-rolebindings created
   k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-edit-rolebindings created
   k8srestrictrolerules.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-pods-exec created
   

3. Verifique se as restrições da política foram instaladas e se existem violações no cluster:

   kubectl get constraints -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2
   

   O resultado será assim:

   NAME                                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockallingress.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-all-ingress   dryrun               0
   
   NAME                                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockobjectsoftype.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-secrets-of-type-basic-auth   dryrun               0
   
   NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspallowedusers.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-running-as-non-root   dryrun               0
   
   NAME                                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privilege-escalation   dryrun               0
   
   NAME                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspapparmor.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-apparmor   dryrun               0
   
   NAME                                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspautomountserviceaccounttokenpod.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod   dryrun               0
   
   NAME                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspcapabilities.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-capabilities   dryrun               0
   
   NAME                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-hostpath-volumes   dryrun               0
   
   NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnamespace.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-namespaces   dryrun               0
   
   NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-network   dryrun               0
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-hostport       dryrun               0
   
   NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privileged-containers   dryrun               0
   
   NAME                                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspreadonlyrootfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-readonlyrootfilesystem   dryrun               0
   
   NAME                                                                ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspseccomp.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-seccomp   dryrun               0
   
   NAME                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspselinuxv2.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-selinux   dryrun               0
   
   NAME                                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredresources.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required   dryrun               0
   
   NAME                                                                                                                ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-require-namespace-network-policies   dryrun               0
   
   NAME                                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-clusteradmin-rolebindings   dryrun               0
   k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-edit-rolebindings           dryrun               0
   
   NAME                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolerules.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-pods-exec   dryrun               0
   

kpt

1. Instale e configure o kpt.

   O kpt é usado nestas instruções para personalizar e implantar recursos do Kubernetes.

2. Baixe o pacote de política do guia de aumento da proteção do Kubernetes para a CISA da NSA v1.2 no GitHub usando o kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2
   

3. Execute a função set-enforcement-action do kpt para definir a ação de aplicação das políticas como dryrun:

   kpt fn eval nsa-cisa-k8s-v1.2 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
   -- enforcementAction=dryrun
   

4. Inicialize o diretório de trabalho com o kpt, que cria um recurso para acompanhar as alterações:

   cd nsa-cisa-k8s-v1.2 kpt live init
   

5. Aplique as restrições da política com kpt:

   kpt live apply
   

6. Verifique se as restrições da política foram instaladas e se existem violações no cluster:

   kpt live status --output table --poll-until current
   

   O status CURRENT confirma a instalação bem-sucedida das restrições.

Config Sync

1. Instale e configure o kpt.

   O kpt é usado nestas instruções para personalizar e implantar recursos do Kubernetes.

   Os operadores que usam o Config Sync para implantar políticas nos clusters podem usar as seguintes instruções:

2. Altere para o diretório de sincronização do Config Sync:

   cd SYNC_ROOT_DIR
   

   Observação: o Kpt v1.0.0-beta.17 e versões posteriores criam automaticamente um arquivo resourcegroup.yaml durante live init que não precisa ser verificado no repositório do Config Sync. Adicione resourcegroup.yaml ao arquivo .gitignore do repositório se ainda não estiver presente.

   Para criar ou anexar .gitignore com resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

3. Crie um diretório policies dedicado:

   mkdir -p policies
   

4. Baixe o pacote de política do guia de aumento da proteção do Kubernetes para a CISA da NSA v1.2 no GitHub usando o kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2 policies/nsa-cisa-k8s-v1.2
   

5. Execute a função set-enforcement-action do kpt para definir a ação de aplicação das políticas como dryrun:

   kpt fn eval policies/nsa-cisa-k8s-v1.2 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

6. (Opcional) Visualize as restrições de política a serem criadas:

   kpt live init policies/nsa-cisa-k8s-v1.2 kpt live apply --dry-run policies/nsa-cisa-k8s-v1.2
   

7. Se o diretório de sincronização do Config Sync usar Kustomize, adicione policies/nsa-cisa-k8s-v1.2 à raiz kustomization.yaml. Caso contrário, remova o arquivo policies/nsa-cisa-k8s-v1.2/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2/kustomization.yaml
   

8. Envie as alterações para o repositório do Config Sync:

   git add SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2 git commit -m 'Adding NSA CISA Kubernetes Hardening v1.2 policy audit enforcement'
   git push
   

9. Verifique o status da instalação:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   O status SYNCED confirma a instalação das políticas.

Visualizar violações de políticas

Depois que as restrições de política são instaladas no modo de auditoria, as violações no cluster podem ser visualizadas na interface usando o Painel do Controlador de políticas.

Também é possível usar kubectl para visualizar violações no cluster usando o seguinte comando:

  kubectl get constraint -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
  

Se houver violações, uma lista das mensagens de violação por restrição poderá ser visualizada com:

  kubectl get constraint -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
  

Alterar ação de aplicação do pacote de políticas do NSA CISA Kubernetesing v1.2

Depois de analisar as violações de políticas no cluster, considere alterar o modo de aplicação para que o controlador de admissão warn ou deny bloqueie a aplicação de recursos sem compliance no cluster.

Aviso: a ação de aplicação deny precisa ser usada com cuidado, já que ela pode bloquear as alterações necessárias, resultando na interrupção de cargas de trabalho críticas ou do cluster. É altamente recomendável que apenas as ações de aplicação warn ou dryrun sejam usadas em clusters com cargas de trabalho de produção, ao testar novas restrições ou realizar migrações, como upgrade de plataformas. Para mais informações sobre as ações de cumprimento, consulte Auditoria com restrições.

kubectl

1. Use o kubectl para definir a ação de cumprimento das políticas como warn:

   kubectl get constraints -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Verifique se a ação de cumprimento das restrições da política foi atualizada:

   kubectl get constraints -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2
   

kpt

1. Execute a função set-enforcement-action do kpt para definir a ação de aplicação das políticas como warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Aplique as restrições da política:

   kpt live apply
   

Config Sync

Os operadores que usam o Config Sync para implantar políticas nos clusters podem usar as seguintes instruções:

1. Altere para o diretório de sincronização do Config Sync:

   cd SYNC_ROOT_DIR
   

2. Execute a função set-enforcement-action do kpt para definir a ação de aplicação das políticas como warn:

   kpt fn eval policies/nsa-cisa-k8s-v1.2 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Envie as alterações para o repositório do Config Sync:

   git add SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2
   git commit -m 'Adding NSA CISA Kubernetes Hardening v1.2 policy warn enforcement'
   git push
   

4. Verifique o status da instalação:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Seu repo que aparece na coluna SYNCED confirma a instalação das políticas.

Aplicação da política de testes

Crie um recurso não compatível no cluster usando o seguinte comando:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

O controlador de admissão produzirá um alerta listando as violações da política que esse recurso viola, conforme mostrado no exemplo a seguir:

Warning: [nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod] Automounting service account token is disallowed, pod: wp-non-compliant
Warning: [nsa-cisa-k8s-v1.2-running-as-non-root] Container wordpress is attempting to run without a required securityContext/runAsGroup. Allowed runAsGroup: {"ranges": [{"max": 65536, "min": 1000}], "rule": "MustRunAs"}
Warning: [nsa-cisa-k8s-v1.2-running-as-non-root] Container wordpress is attempting to run without a required securityContext/runAsUser
Warning: [nsa-cisa-k8s-v1.2-privilege-escalation] Privilege escalation container is not allowed: wordpress
Warning: [nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required] container <wordpress> does not have <{"cpu", "memory"}> limits defined
Warning: [nsa-cisa-k8s-v1.2-capabilities] container <wordpress> is not dropping all required capabilities. Container must drop all of ["ALL"] or "ALL"
Warning: [nsa-cisa-k8s-v1.2-readonlyrootfilesystem] only read-only root filesystem container is allowed: wordpress
pod/wp-non-compliant created

Remoção do pacote de políticas de aumento da proteção do Kubernetes da NSA CISA v1.2

Se necessário, o pacote de políticas de aumento da proteção do Kubernetes da NSA CISA v1.2 pode ser removido do cluster.

kubectl

• Use o kubectl para remover as políticas:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2
  

kpt

• Remova as políticas:

  kpt live destroy
  

Config Sync

Os operadores que usam o Config Sync para implantar políticas nos clusters podem usar as seguintes instruções:

1. Envie as alterações para o repositório do Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2
   git commit -m 'Removing NSA CISA Kubernetes Hardening Guide v1.2 policies'
   git push
   

2. Verifique o status:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Seu repo que aparece na coluna SYNCED confirma a remoção das políticas.