Menggunakan batasan kebijakan PCI-DSS v4.0

Policy Controller dilengkapi dengan library default template batasan yang dapat digunakan dengan paket PCI-DSS v4.0 untuk mengevaluasi kepatuhan resource cluster Anda terhadap beberapa aspek Standar Keamanan Data Industri Kartu Pembayaran (PCI-DSS) v4.0.

Halaman ini berisi petunjuk untuk menerapkan paket kebijakan secara manual. Atau, Anda dapat menerapkan paket kebijakan secara langsung.

Peringatan: Setelah Anda memilih metode untuk menerapkan paket kebijakan (manual, gcloud CLI, atau Google Cloud konsol), menggunakan metode lain untuk menginstal paket kebijakan dapat menyebabkan error di lingkungan Anda.

Halaman ini ditujukan bagi administrator dan Operator IT yang ingin memastikan bahwa semua resource yang berjalan dalam platform cloud memenuhi persyaratan kepatuhan organisasi dengan menyediakan dan mempertahankan otomatisasi untuk mengaudit atau menerapkan. Untuk mempelajari lebih lanjut peran umum dan contoh tugas yang kami referensikan dalam konten, lihat Peran dan tugas pengguna GKE umum. Google Cloud

Batasan paket kebijakan PCI-DSS v4.0

Nama Batasan	Deskripsi Batasan	ID Kontrol
pci-dss-v4.0-require-apps-annotations	Mewajibkan semua aplikasi dalam cluster memiliki anotasi network-controls/date.	2.2.5
pci-dss-v4.0-require-av-daemonset	Memerlukan kehadiran Anti-Virus DaemonSet.	5.2.1, 5.2.2, 5.2.3, 5.3.1, 5.3.2, 5.3.5
pci-dss-v4.0-require-binauthz	Memerlukan Webhook Penerimaan Validasi Otorisasi Biner.	2.2.1, 2.2.4, 6.2.3, 6.3.1, 6.3.2
pci-dss-v4.0-require-cloudarmor-backendconfig	Menerapkan konfigurasi Google Cloud Armor pada resource BackendConfig.	6.4.1, 6.4.2
pci-dss-v4.0-require-config-management	Memerlukan Config Management yang berjalan dengan Pencegahan Penyimpangan diaktifkan dan setidaknya satu objek RootSync di cluster.	1.2.8, 2.2.6, 5.3.5, 6.3.2, 6.5.1
pci-dss-v4.0-require-default-deny-network-policies	Mewajibkan setiap namespace yang ditentukan dalam cluster memiliki NetworkPolicy tolak default untuk egress.	1.3.2, 1.4.4
pci-dss-v4.0-require-managed-by-label	Mewajibkan semua aplikasi memiliki label app.kubernetes.io/managed-by yang valid.	1.2.8, 2.2.6, 5.3.5, 6.3.2, 6.5.1
pci-dss-v4.0-require-namespace-network-policies	Memerlukan setiap Namespace yang ditentukan dalam cluster memiliki NetworkPolicy.	1.2.5, 1.2.6, 1.4.1, 1.4.4
pci-dss-v4.0-require-peer-authentication-strict-mtls	Memastikan PeerAuthentication tidak dapat menggantikan mTLS yang ketat.	2.2.7, 4.2.1, 8.3.2
pci-dss-v4.0-require-valid-network-ranges	Membatasi rentang CIDR yang diizinkan untuk digunakan dengan ingress dan egress.	1.3.1, 1.3.2, 1.4.2, 1.4.4
pci-dss-v4.0-resources-have-required-labels	Mewajibkan semua aplikasi berisi label tertentu untuk memenuhi persyaratan firewall.	1.2.7
pci-dss-v4.0-restrict-cluster-admin-role	Membatasi penggunaan peran cluster-admin.	7.2.1, 7.2.2, 7.2.5, 8.2.4
pci-dss-v4.0-restrict-creation-with-default-serviceaccount	Membatasi pembuatan resource menggunakan akun layanan default. Tidak berpengaruh selama audit.	2.2.2
pci-dss-v4.0-restrict-default-namespace	Membatasi pod agar tidak menggunakan namespace default.	2.2.3
pci-dss-v4.0-restrict-ingress	Membatasi pembuatan objek Ingress.	1.3.1, 1.4.2, 1.4.4
pci-dss-v4.0-restrict-node-image	Memastikan waktu yang konsisten dan benar di Node dengan hanya mengizinkan Container-Optimized OS atau Ubuntu sebagai image OS.	10.6.1, 10.6.2, 10.6.3
pci-dss-v4.0-restrict-pods-exec	Membatasi penggunaan pods/exec di Roles dan ClusterRoles.	8.6.1
pci-dss-v4.0-restrict-rbac-subjects	Membatasi penggunaan nama dalam subjek RBAC ke nilai yang diizinkan.	7.3.2, 8.2.1, 8.2.2, 8.2.4
pci-dss-v4.0-restrict-role-wildcards	Membatasi penggunaan karakter pengganti di Roles dan ClusterRoles.	7.3.3, 8.2.4
pci-dss-v4.0-restrict-storageclass	Membatasi StorageClass ke daftar StorageClass yang dienkripsi secara default.	3.3.2, 3.3.3

Sebelum memulai

1. Instal dan lakukan inisialisasi Google Cloud CLI, yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah terinstal sebelumnya.
2. Instal Pengontrol Kebijakan v1.16.0 atau yang lebih tinggi di cluster Anda dengan library template batasan default. Anda juga harus mengaktifkan dukungan untuk batasan referensial karena paket ini berisi batasan referensial.

Mengonfigurasi Policy Controller untuk batasan referensial

Peringatan: Anda dapat menimpa perubahan Anda. Jika sudah memiliki Config di namespace gatekeeper-system, Anda harus menyertakan semua setelan penyesuaian sebelumnya untuk mempertahankan perubahan.

1. Simpan manifes YAML berikut ke file sebagai policycontroller-config.yaml. Manifes mengonfigurasi Policy Controller untuk memantau jenis objek tertentu.

   apiVersion: config.gatekeeper.sh/v1alpha1
   kind: Config
   metadata:
     name: config
     namespace: "gatekeeper-system"
   spec:
     sync:
       syncOnly:
         - group: "networking.k8s.io"
           version: "v1"
           kind: "NetworkPolicy"
         - group: "admissionregistration.k8s.io"
           version: "v1"
           kind: "ValidatingWebhookConfiguration"
         - group: "storage.k8s.io"
           version: "v1"
           kind: "StorageClass"
   

2. Terapkan manifes policycontroller-config.yaml:

   kubectl apply -f policycontroller-config.yaml
   

Mengonfigurasi workload cluster Anda untuk PCI-DSS v4.0

1. Semua aplikasi (ReplicaSet, Deployment, StatefulSet, DaemonSet) harus menyertakan anotasi network-controls/date dengan skema YYYY-MM-DD.
2. Solusi antivirus diperlukan. Defaultnya adalah keberadaan daemonset bernama clamav di clamav Namespace, tetapi nama dan namespace daemonset dapat disesuaikan dengan penerapan Anda dalam batasan pci-dss-v4.0-require-av-daemonset.
3. Pengaktifan dan konfigurasi Otorisasi Biner diperlukan di pci-dss-v4.0-require-binauthz.
4. Semua BackendConfig harus dikonfigurasi untuk CloudArmor.
5. Keberadaan dan pengaktifan Config Sync diperlukan.
6. Setiap Namespace yang ditentukan dalam cluster memiliki NetworkPolicy tolak default untuk egress, pengecualian yang diizinkan dapat ditentukan dalam pci-dss-v4.0-require-namespace-network-policies.
7. Penggunaan Config Sync untuk configmanagement.gke.io diwajibkan secara default, tetapi nilai app.kubernetes.io/managed-by yang diizinkan dapat disesuaikan dalam batasan pci-dss-v4.0-enforce-managed-by-configmanagement-label.
8. Setiap Namespace yang ditentukan dalam cluster harus memiliki NetworkPolicy.
9. Jika menggunakan Cloud Service Mesh, PeerAuthentication ASM harus menggunakan mTLS ketat spec.mtls.mode: STRICT.
10. Hanya rentang IP yang diizinkan yang dapat digunakan untuk Ingress dan Express, yang dapat ditentukan dalam pci-dss-v4.0-require-valid-network-ranges.
11. Semua aplikasi (ReplicaSet, Deployment, StatefulSet, dan DaemonSet) harus menyertakan pci-dss-firewall-audit label dengan skema pci-dss-[0-9]{4}q[1-4].
12. Penggunaan ClusterRole cluster-admin tidak diizinkan.
13. Resource tidak dapat dibuat menggunakan akun layanan default.
14. Namespace default tidak dapat digunakan untuk pod.
15. Hanya objek Ingress yang diizinkan (jenis Ingress, Gateway, dan Service dari NodePort dan LoadBalancer) yang dapat dibuat, dan objek ini dapat ditentukan dalam pci-dss-v4.0-restrict-ingress.
16. Semua node harus menggunakan Container-Optimized OS atau Ubuntu untuk image-nya agar waktu tetap konsisten.
17. Penggunaan karakter pengganti atau izin pods/exec di Roles dan ClusterRoles tidak diizinkan.
18. Hanya subjek yang diizinkan yang dapat digunakan dalam binding RBAC, nama domain Anda dapat ditentukan dalam pci-dss-v4.0-restrict-rbac-subjects.
19. Penggunaan enkripsi secara default StorageClass diperlukan di pci-dss-v4.0-restrict-storageclass.

Mengaudit paket kebijakan PCI-DSS v4.0

Dengan Pengontrol Kebijakan, Anda dapat menerapkan kebijakan untuk cluster Kubernetes Anda. Untuk membantu menguji workload dan kepatuhannya terhadap kebijakan PCI-DSS v4.0 yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkapkan pelanggaran dan yang lebih penting, memberi Anda kesempatan untuk memperbaikinya sebelum diterapkan di cluster Kubernetes Anda.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction ditetapkan ke dryrun menggunakan kubectl, kpt, atau Config Sync.

kubectl

1. (Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v4.0
   

2. Terapkan batasan kebijakan dengan kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v4.0
   

   Outputnya adalah sebagai berikut:

   asmpeerauthnstrictmtls.constraints.gatekeeper.sh/pci-dss-v4.0-require-peer-authentication-strict-mtls created
   k8sblockallingress.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-ingress created
   k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-creation-with-default-serviceaccount created
   k8senforcecloudarmorbackendconfig.constraints.gatekeeper.sh/pci-dss-v4.0-require-cloudarmor-backendconfig created
   k8senforceconfigmanagement.constraints.gatekeeper.sh/pci-dss-v4.0-require-config-management created
   k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-role-wildcards created
   k8srequirebinauthz.constraints.gatekeeper.sh/pci-dss-v4.0-require-binauthz created
   k8srequirecosnodeimage.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-node-image created
   k8srequiredaemonsets.constraints.gatekeeper.sh/pci-dss-v4.0-require-av-daemonset created
   k8srequiredefaultdenyegresspolicy.constraints.gatekeeper.sh/pci-dss-v4.0-require-default-deny-network-policies created
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/pci-dss-v4.0-require-namespace-network-policies created
   k8srequirevalidrangesfornetworks.constraints.gatekeeper.sh/pci-dss-v4.0-require-valid-network-ranges created
   k8srequiredannotations.constraints.gatekeeper.sh/pci-dss-v4.0-require-apps-annotations created
   k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v4.0-require-managed-by-label created
   k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v4.0-resources-have-required-labels created
   k8srestrictnamespaces.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-default-namespace created
   k8srestrictrbacsubjects.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-rbac-subjects created
   k8srestrictrolebindings.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-cluster-admin-role created
   k8srestrictrolerules.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-pods-exec created
   k8sstorageclass.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-storageclass created
   

3. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

   kubectl get constraints -l policycontroller.gke.io/bundleName=pci-dss-v4.0
   

   Outputnya mirip dengan hal berikut ini:

   NAME                                                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   asmpeerauthnstrictmtls.constraints.gatekeeper.sh/pci-dss-v4.0-require-peer-authentication-strict-mtls   dryrun               0
   
   NAME                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockallingress.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-ingress   dryrun               0
   
   NAME                                                                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-creation-with-default-serviceaccount   dryrun               0
   
   NAME                                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8senforcecloudarmorbackendconfig.constraints.gatekeeper.sh/pci-dss-v4.0-require-cloudarmor-backendconfig   dryrun               0
   
   NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8senforceconfigmanagement.constraints.gatekeeper.sh/pci-dss-v4.0-require-config-management   dryrun               0
   
   NAME                                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-role-wildcards   dryrun               0
   
   NAME                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirebinauthz.constraints.gatekeeper.sh/pci-dss-v4.0-require-binauthz   dryrun               0
   
   NAME                                                                                ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirecosnodeimage.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-node-image   dryrun               0
   
   NAME                                                                               ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredaemonsets.constraints.gatekeeper.sh/pci-dss-v4.0-require-av-daemonset   dryrun               0
   
   NAME                                                                                     ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredannotations.constraints.gatekeeper.sh/pci-dss-v4.0-require-apps-annotations   dryrun               0
   
   NAME                                                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredefaultdenyegresspolicy.constraints.gatekeeper.sh/pci-dss-v4.0-require-default-deny-network-policies   dryrun               0
   
   NAME                                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v4.0-require-managed-by-label         dryrun               0
   k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v4.0-resources-have-required-labels   dryrun               0
   
   NAME                                                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/pci-dss-v4.0-require-namespace-network-policies   dryrun               0
   
   NAME                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srequirevalidrangesfornetworks.constraints.gatekeeper.sh/pci-dss-v4.0-require-valid-network-ranges   dryrun               0
   
   NAME                                                                                      ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictnamespaces.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-default-namespace   dryrun               0
   
   NAME                                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrbacsubjects.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-rbac-subjects   dryrun               0
   
   NAME                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolebindings.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-cluster-admin-role   dryrun               0
   
   NAME                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolerules.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-pods-exec   dryrun               0
   
   NAME                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sstorageclass.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-storageclass   dryrun               0
   

kpt

1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

2. Download paket kebijakan PCI-DSS v4.0 dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v4.0
   

3. Jalankan fungsi set-enforcement-action KPT untuk menetapkan tindakan penerapan kebijakan ke dryrun:

   kpt fn eval pci-dss-v4.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
     -- enforcementAction=dryrun
   

4. Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:

   cd pci-dss-v4.0
   kpt live init
   

5. Terapkan batasan kebijakan dengan kpt:

   kpt live apply
   

6. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

   kpt live status --output table --poll-until current
   

   Status CURRENT mengonfirmasi penginstalan batasan yang berhasil.

Config Sync

1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

   Catatan: Kpt v1.0.0-beta.17 dan yang lebih baru otomatis membuat file resourcegroup.yaml selama live init yang tidak boleh diperiksa ke repositori Config Sync Anda. Jika belum ada, tambahkan resourcegroup.yaml ke file .gitignore repo Anda.

   Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

2. Buat direktori policies khusus:

   mkdir -p policies
   

3. Download paket kebijakan PCI-DSS v4.0 dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v4.0 policies/pci-dss-v4.0
   

4. Jalankan fungsi set-enforcement-action KPT untuk menetapkan tindakan penerapan kebijakan ke dryrun:

   kpt fn eval policies/pci-dss-v4.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

5. (Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

   kpt live init policies/pci-dss-v4.0
   kpt live apply --dry-run policies/pci-dss-v4.0
   

6. Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Kustomize, tambahkan policies/pci-dss-v4.0 ke kustomization.yaml root Anda. Jika tidak, hapus file policies/pci-dss-v4.0/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/pci-dss-v4.0/kustomization.yaml
   

7. Kirim perubahan ke repositori Config Sync:

   git add SYNC_ROOT_DIR/policies/pci-dss-v4.0
   git commit -m 'Adding PCI-DSS v4.0 policy audit enforcement'
   git push
   

8. Verifikasi status penginstalan:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Status SYNCED mengonfirmasi penginstalan kebijakan.

Melihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran pada cluster menggunakan perintah berikut:

kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v4.0 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Jika ada pelanggaran, daftar pesan pelanggaran per batasan dapat dilihat dengan:

kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v4.0 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Mengubah tindakan penerapan paket kebijakan PCI-DSS v4.0

Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan untuk mengubah mode penerapan sehingga Pengontrol Penerimaan akan warn diaktifkan atau bahkan deny memblokir penerapan resource yang tidak mematuhi kebijakan ke cluster.

Peringatan: Tindakan penegakan deny harus digunakan dengan hati-hati karena berpotensi memblokir perubahan yang diperlukan sehingga menyebabkan gangguan pada beban kerja atau cluster yang penting. Sebaiknya hanya tindakan penegakan warn atau dryrun yang digunakan pada cluster dengan beban kerja produksi, saat menguji batasan baru, atau melakukan migrasi seperti mengupgrade platform. Untuk mengetahui informasi selengkapnya tentang tindakan penegakan, lihat Mengaudit menggunakan batasan.

kubectl

1. Gunakan kubectl untuk menyetel tindakan penerapan kebijakan ke warn:

   kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v4.0 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Pastikan tindakan penerapan batasan kebijakan telah diperbarui:

   kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v4.0
   

kpt

1. Jalankan fungsi set-enforcement-action KPT untuk menetapkan tindakan penerapan kebijakan ke warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Terapkan batasan kebijakan:

   kpt live apply
   

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

2. Jalankan fungsi set-enforcement-action KPT untuk menetapkan tindakan penerapan kebijakan ke warn:

   kpt fn eval policies/pci-dss-v4.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Kirim perubahan ke repositori Config Sync:

   git add SYNC_ROOT_DIR/policies/pci-dss-v4.0
   git commit -m 'Adding PCI-DSS v4.0 policy bundle warn enforcement'
   git push
   

4. Verifikasi status penginstalan:

   nomos status
   

   Cluster akan menampilkan status SYNCED dengan kebijakan yang diinstal.

Menguji penegakan kebijakan

Buat resource yang tidak sesuai di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

Pengontrol penerimaan harus menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilakukan oleh resource ini, seperti yang ditunjukkan dalam contoh berikut:

Warning: [pci-dss-v4.0-restrict-default-namespace] <default> namespace is restricted
pod/wp-non-compliant created

Menghapus paket kebijakan PCI-DSS v4.0

Jika perlu, paket kebijakan PCI-DSS v4.0 dapat dihapus dari cluster.

kubectl

• Gunakan kubectl untuk menghapus kebijakan:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=pci-dss-v4.0
  

kpt

• Hapus kebijakan:

  kpt live destroy
  

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Kirim perubahan ke repositori Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/pci-dss-v4.0
   git commit -m 'Removing PCI-DSS v4.0 policies'
   git push
   

2. Verifikasi status:

   nomos status
   

   Cluster akan menampilkan status SYNCED dengan resource yang dihapus.