Utiliser les contraintes liées aux règles de renforcement Kubernetes de la NSA CISA

Policy Controller est fourni avec une bibliothèque par défaut de modèles de contrainte qui peuvent être utilisés avec le groupe de règles v1.2 de guide de renforcement de Kubernetes National Security Agency (NSA) Cybersecurity et Infrastructure Security Agency (CISA) pour évaluer la conformité de vos ressources de cluster par rapport à certains aspects du guide de renforcement de Kubernetes NSA CISA v1.2.

Contraintes du groupe de règles v1.2 de renforcement NSA CISA Kubernetes

Nom de la contrainte	Description de la contrainte
nsa-cisa-k8s-v1.2-apparmor	Limite le profil "AppArmor" pour les pods.
nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod	Empêche les pods d'utiliser "automountServiceAccountToken".
nsa-cisa-k8s-v1.2-block-all-ingress	Limite la création d'objets "Ingress".
nsa-cisa-k8s-v1.2-block-secrets-of-type-basic-auth	Limite l'utilisation des secrets de type "kubernetes.io/basic-auth".
nsa-cisa-k8s-v1.2-capabilities	Les conteneurs doivent supprimer toutes les fonctionnalités et ne sont pas autorisés à en ajouter à nouveau.
nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required	Tous les pods de charge de travail doivent spécifier des limites de "processeur" et de "mémoire".
nsa-cisa-k8s-v1.2-host-namespaces	Limite les conteneurs pour lesquels "hostPID" ou "hostIPC" est défini sur "true".
nsa-cisa-k8s-v1.2-host-namespaces-hostnetwork	Le partage des espaces de noms de l'hôte ne doit pas être autorisé.
nsa-cisa-k8s-v1.2-host-network	Empêche l'exécution des conteneurs lorsque l'indicateur "hostNetwork" est défini sur "true".
nsa-cisa-k8s-v1.2-hostport	Empêche les conteneurs de s'exécuter avec "hostPort" configuré.
nsa-cisa-k8s-v1.2-privilege-escalation	Limite les conteneurs dont l'élément "allowPrivilegeEscalation" est défini sur "true".
nsa-cisa-k8s-v1.2-privileged-containers	Limite les conteneurs pour lesquels le paramètre "securityContext.privileged" est défini sur "true".
nsa-cisa-k8s-v1.2-readonlyrootfilesystem	Nécessite l'utilisation d'un système de fichiers racine en lecture seule par les conteneurs de pods.
nsa-cisa-k8s-v1.2-require-namespace-network-policies	Nécessite que chaque espace de noms défini dans le cluster ait un objet NetworkPolicy.
nsa-cisa-k8s-v1.2-restrict-clusteradmin-rolebindings	Restricts the use of the `cluster-admin` role.
nsa-cisa-k8s-v1.2-restrict-edit-rolebindings	Limite l'utilisation du rôle "edit".
nsa-cisa-k8s-v1.2-restrict-hostpath-volumes	Limite l'utilisation des volumes "HostPath".
nsa-cisa-k8s-v1.2-restrict-pods-exec	Limite l'utilisation de "pods/exec" dans "Roles" et "ClusterRoles".
nsa-cisa-k8s-v1.2-running-as-non-root	Empêche l'exécution des conteneurs en tant qu'utilisateur racine.
nsa-cisa-k8s-v1.2-seccomp	Le profil Seccomp ne doit pas être explicitement défini sur "Non confiné".
nsa-cisa-k8s-v1.2-selinux	Impossible de définir le type SELinux ou de définir une option d'utilisateur ou de rôle personnalisée SELinux.

Avant de commencer

1. Installez et initialisez Google Cloud CLI, qui fournit les commandes gcloud, kubectl, et utilisées dans les présentes instructions. Si vous utilisez Cloud Shell, Google Cloud CLI est préinstallé.
2. Installez Policy Controller sur votre cluster avec la bibliothèque par défaut de modèles de contraintes. Vous devez également activer la compatibilité avec les contraintes référentielles, car ce groupe contient des contraintes référentielles.

Configurer Policy Controller pour les contraintes référentielles

Avertissement : Vous pouvez écraser vos propres modifications. Si vous disposez déjà d'un objet Config dans l'espace de noms gatekeeper-system, vous devez inclure tous les paramètres de personnalisation précédents pour conserver vos modifications.

1. Enregistrez le fichier manifeste YAML suivant dans un fichier sous le nom policycontroller-config.yaml. Le fichier manifeste configure Policy Controller pour surveiller des types d'objets spécifiques.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: "networking.k8s.io"
           version: "v1"
           kind: "NetworkPolicy"
   

2. Appliquez le fichier manifeste policycontroller-config.yaml :

   kubectl apply -f policycontroller-config.yaml
   

Auditer le groupe de règles v1.2 de renforcement Kubernetes NSA CISA

Policy Controller vous permet d'appliquer des règles à votre cluster Kubernetes. Pour tester vos charges de travail et leur conformité avec les règles v1.2 du guide de renforcement Kubernetes NSA CISA décrites dans le tableau précédent, vous pouvez déployer ces contraintes en mode "audit" pour révéler les cas de non-respect et, plus important, vous donner la possibilité de les corriger avant de les appliquer à votre cluster Kubernetes.

Vous pouvez appliquer ces règles en définissant le paramètre spec.enforcementAction sur dryrun à l'aide de kubectl, kpt ou Config Sync.

kubectl

1. (Facultatif) Prévisualisez les contraintes de règle avec kubectl :

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2
   

2. Appliquez les contraintes de règle avec kubectl :

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2
   

   Le résultat est le suivant :

   k8sblockallingress.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-all-ingress created
   k8sblockobjectsoftype.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-secrets-of-type-basic-auth created
   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privilege-escalation created
   k8spspallowedusers.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-running-as-non-root created
   k8spspapparmor.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-apparmor created
   k8spspautomountserviceaccounttokenpod.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod created
   k8spspcapabilities.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-capabilities created
   k8spsphostfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-hostpath-volumes created
   k8spsphostnamespace.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-namespaces created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-network created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-hostport created
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privileged-containers created
   k8spspreadonlyrootfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-readonlyrootfilesystem created
   k8spspselinuxv2.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-selinux created
   k8spspseccomp.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-seccomp created
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-require-namespace-network-policies created
   k8srequiredresources.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required created
   k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-clusteradmin-rolebindings created
   k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-edit-rolebindings created
   k8srestrictrolerules.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-pods-exec created
   

3. Vérifiez que les contraintes de règles ont été installées et si des cas de non-respect existent dans le cluster :

   kubectl get constraints -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2
   

   Le résultat ressemble à ce qui suit :

   NAME                                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockallingress.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-all-ingress   dryrun               0
   
   NAME                                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockobjectsoftype.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-block-secrets-of-type-basic-auth   dryrun               0
   
   NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspallowedusers.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-running-as-non-root   dryrun               0
   
   NAME                                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privilege-escalation   dryrun               0
   
   NAME                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspapparmor.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-apparmor   dryrun               0
   
   NAME                                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspautomountserviceaccounttokenpod.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod   dryrun               0
   
   NAME                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspcapabilities.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-capabilities   dryrun               0
   
   NAME                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-hostpath-volumes   dryrun               0
   
   NAME                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnamespace.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-namespaces   dryrun               0
   
   NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-host-network   dryrun               0
   k8spsphostnetworkingports.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-hostport       dryrun               0
   
   NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-privileged-containers   dryrun               0
   
   NAME                                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspreadonlyrootfilesystem.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-readonlyrootfilesystem   dryrun               0
   
   NAME                                                                ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspseccomp.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-seccomp   dryrun               0
   
   NAME                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspselinuxv2.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-selinux   dryrun               0
   
   NAME                                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredresources.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required   dryrun               0
   
   NAME                                                                                                                ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-require-namespace-network-policies   dryrun               0
   
   NAME                                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-clusteradmin-rolebindings   dryrun               0
   k8srestrictrolebindings.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-edit-rolebindings           dryrun               0
   
   NAME                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolerules.constraints.gatekeeper.sh/nsa-cisa-k8s-v1.2-restrict-pods-exec   dryrun               0
   

kpt

1. Installez et configurez kpt.

   kpt est utilisé dans ces instructions pour personnaliser et déployer les ressources Kubernetes.

2. Téléchargez le groupe de règles v1.2 de guide de renforcement Kubernetes NSA CISA depuis GitHub à l'aide de Kpt :

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2
   

3. Exécutez la fonction kpt set-enforcement-action pour définir l'action d'application des règles sur dryrun :

   kpt fn eval nsa-cisa-k8s-v1.2 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
   -- enforcementAction=dryrun
   

4. Initialisez le répertoire de travail avec kpt, qui crée une ressource pour suivre les modifications :

   cd nsa-cisa-k8s-v1.2 kpt live init
   

5. Appliquez les contraintes de règles avec kpt :

   kpt live apply
   

6. Vérifiez que les contraintes de règles ont été installées et si des cas de non-respect existent dans le cluster :

   kpt live status --output table --poll-until current
   

   L'état CURRENT confirme l'installation correcte des contraintes.

Config Sync

1. Installez et configurez kpt.

   kpt est utilisé dans ces instructions pour personnaliser et déployer les ressources Kubernetes.

   Les opérateurs qui utilisent Config Sync pour déployer des règles sur leurs clusters peuvent suivre ces instructions :

2. Accédez au répertoire de synchronisation pour Config Sync :

   cd SYNC_ROOT_DIR
   

   Remarque : Kpt v1.0.0-beta.17 et versions ultérieures créent automatiquement un fichier resourcegroup.yaml lors de live init, qui ne devrait pas être enregistré dans votre dépôt Config Sync. Si ce n'est pas déjà fait, ajoutez resourcegroup.yaml au fichier .gitignore de votre dépôt.

   Pour créer ou ajouter .gitignore avec resourcegroup.yaml, procédez comme suit :

   echo resourcegroup.yaml >> .gitignore
   

3. Créez un répertoire policies dédié :

   mkdir -p policies
   

4. Téléchargez le groupe de règles v1.2 de guide de renforcement Kubernetes NSA CISA depuis GitHub à l'aide de Kpt :

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/nsa-cisa-k8s-v1.2 policies/nsa-cisa-k8s-v1.2
   

5. Exécutez la fonction kpt set-enforcement-action pour définir l'action d'application des règles sur dryrun :

   kpt fn eval policies/nsa-cisa-k8s-v1.2 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

6. (Facultatif) Prévisualisez les contraintes de règles à créer :

   kpt live init policies/nsa-cisa-k8s-v1.2 kpt live apply --dry-run policies/nsa-cisa-k8s-v1.2
   

7. Si votre répertoire de synchronisation pour Config Sync utilise Kustomize, ajoutez policies/nsa-cisa-k8s-v1.2 à votre kustomization.yaml racine. Sinon, supprimez le fichier policies/nsa-cisa-k8s-v1.2/kustomization.yaml :

   rm SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2/kustomization.yaml
   

8. Transférez les modifications au dépôt Config Sync :

   git add SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2 git commit -m 'Adding NSA CISA Kubernetes Hardening v1.2 policy audit enforcement'
   git push
   

9. Vérifiez l'état de l'installation :

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   L'état SYNCED confirme l'installation des règles .

Consulter les notifications de non-respect des règles

Une fois les contraintes de règle installées en mode audit, les cas de non-respect du cluster peuvent être visualisés dans l'interface utilisateur à l'aide du tableau de bord Policy Controller.

Vous pouvez également utiliser kubectl pour afficher les cas de non-respect sur le cluster à l'aide de la commande suivante :

  kubectl get constraint -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
  

En cas de non-respect des règles, vous pouvez consulter la liste des messages de non-respect par contrainte avec :

  kubectl get constraint -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
  

Modifier l'action d'application du groupe de règles CISA CISA v1.2 concernant le renforcement de la sécurité dans Kubernetes

Une fois que vous avez examiné les cas de non-respect des règles sur votre cluster, vous pouvez envisager de modifier le mode d'application afin que le contrôleur d'admission warn ou deny bloque l'application des ressources non conformes sur le cluster.

Avertissement : L'action d'application deny doit être utilisée avec prudence, car elle peut potentiellement bloquer les modifications requises, ce qui entraînera une interruption des charges de travail critiques ou du cluster. Il est fortement recommandé de n'utiliser que les actions d'application warn ou dryrun sur les clusters comportant des charges de travail de production, lorsque vous testez de nouvelles contraintes ou effectuez des migrations telles que la mise à niveau de plates-formes. Pour en savoir plus sur les actions d'application, consultez la page Effectuer un audit à l'aide de contraintes.

kubectl

1. Utilisez kubectl pour définir l'action d'application des règles sur warn :

   kubectl get constraints -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Vérifiez que l'action d'application des contraintes de règle a été mise à jour :

   kubectl get constraints -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2
   

kpt

1. Exécutez la fonction kpt set-enforcement-action pour définir l'action d'application des règles sur warn :

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Appliquez les contraintes de règles :

   kpt live apply
   

Config Sync

Les opérateurs qui utilisent Config Sync pour déployer des règles sur leurs clusters peuvent suivre ces instructions :

1. Accédez au répertoire de synchronisation pour Config Sync :

   cd SYNC_ROOT_DIR
   

2. Exécutez la fonction kpt set-enforcement-action pour définir l'action d'application des règles sur warn :

   kpt fn eval policies/nsa-cisa-k8s-v1.2 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Transférez les modifications au dépôt Config Sync :

   git add SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2
   git commit -m 'Adding NSA CISA Kubernetes Hardening v1.2 policy warn enforcement'
   git push
   

4. Vérifiez l'état de l'installation :

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Le dépôt qui s'affiche dans la colonne SYNCED confirme l'installation des règles.

Tester l'application des règles

Créez une ressource non conforme sur le cluster à l'aide de la commande suivante :

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

Le contrôleur d'admission doit générer un avertissement répertoriant les cas de violation des règles que cette ressource ne respecte pas, comme indiqué dans l'exemple suivant :

Warning: [nsa-cisa-k8s-v1.2-automount-serviceaccount-token-pod] Automounting service account token is disallowed, pod: wp-non-compliant
Warning: [nsa-cisa-k8s-v1.2-running-as-non-root] Container wordpress is attempting to run without a required securityContext/runAsGroup. Allowed runAsGroup: {"ranges": [{"max": 65536, "min": 1000}], "rule": "MustRunAs"}
Warning: [nsa-cisa-k8s-v1.2-running-as-non-root] Container wordpress is attempting to run without a required securityContext/runAsUser
Warning: [nsa-cisa-k8s-v1.2-privilege-escalation] Privilege escalation container is not allowed: wordpress
Warning: [nsa-cisa-k8s-v1.2-cpu-and-memory-limits-required] container <wordpress> does not have <{"cpu", "memory"}> limits defined
Warning: [nsa-cisa-k8s-v1.2-capabilities] container <wordpress> is not dropping all required capabilities. Container must drop all of ["ALL"] or "ALL"
Warning: [nsa-cisa-k8s-v1.2-readonlyrootfilesystem] only read-only root filesystem container is allowed: wordpress
pod/wp-non-compliant created

Supprimer le groupe de règles v1.2 de renforcement Kubernetes NSA CISA

Si nécessaire, le groupe de règles v1.2 de renforcement Kubernetes NSA CISA v1.2 peut être supprimé du cluster.

kubectl

• Utilisez kubectl pour supprimer les règles :

  kubectl delete constraint -l policycontroller.gke.io/bundleName=nsa-cisa-k8s-v1.2
  

kpt

• Supprimez les règles :

  kpt live destroy
  

Config Sync

Les opérateurs qui utilisent Config Sync pour déployer des règles sur leurs clusters peuvent suivre ces instructions :

1. Transférez les modifications au dépôt Config Sync :

   git rm -r SYNC_ROOT_DIR/policies/nsa-cisa-k8s-v1.2
   git commit -m 'Removing NSA CISA Kubernetes Hardening Guide v1.2 policies'
   git push
   

2. Vérifiez l'état :

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Le dépôt qui s'affiche dans la colonne SYNCED confirme la suppression des règles.