Pengontrol Kebijakan dilengkapi library default yang berisi template batasan yang dapat digunakan dengan paket PCI-DSS v4.0 untuk mengevaluasi kepatuhan resource cluster Anda terhadap beberapa aspek Standar Keamanan Data Industri Kartu Pembayaran (PCI-DSS) v4.0.
Batasan paket kebijakan PCI-DSS v4.0
Nama Batasan | Deskripsi Batasan | ID Kontrol |
---|---|---|
pci-dss-v4.0-require-apps-annotations | Mewajibkan semua aplikasi di cluster memiliki anotasi network-controls/date .
|
2.2.5 |
pci-dss-v4.0-require-av-daemonset | Memerlukan adanya DaemonSet Anti-Virus.
|
5.2.1, 5.2.2, 5.2.3, 5.3.1, 5.3.2, 5.3.5 |
pci-dss-v4.0-require-binauthz | Memerlukan Webhook Pendaftaran Otorisasi Biner yang Memvalidasi Pendaftaran. | 2.2.1, 2.2.4, 6.2.3, 6.3.1, 6.3.2 |
pci-dss-v4.0-require-cloudarmor-backendconfig | Menerapkan konfigurasi Google Cloud Armor di resource BackendConfig .
|
6.4.1, 6.4.2 |
pci-dss-v4.0-require-config-management | Memerlukan Config Management yang berjalan dengan Drift Prevention diaktifkan dan setidaknya satu objek RootSync di cluster.
|
1.2.8, 2.2.6, 5.3.5, 6.3.2, 6.5.1 |
pci-dss-v4.0-require-default-deny-network-policies | Setiap namespace yang ditentukan dalam cluster harus memiliki NetworkPolicy tolak default untuk traffic keluar.
|
1.3.2, 1.4.4 |
pci-dss-v4.0-require-managed-by-label | Mewajibkan semua aplikasi memiliki label app.kubernetes.io/managed-by yang valid.
|
1.2.8, 2.2.6, 5.3.5, 6.3.2, 6.5.1 |
pci-dss-v4.0-require-namespace-network-policies | Mengharuskan setiap Namespace yang ditentukan dalam cluster memiliki NetworkPolicy .
|
1.2.5, 1.2.6, 1.4.1, 1.4.4 |
pci-dss-v4.0-require-peer-authentication-strict-mtls | Memastikan PeerAuthentications tidak dapat menimpa mTLS yang ketat. | 2.2.7, 4.2.1, 8.3.2 |
pci-dss-v4.0-require-valid-network-ranges | Membatasi rentang CIDR yang diizinkan untuk digunakan dengan traffic masuk dan keluar. | 1.3.1, 1.3.2, 1.4.2, 1.4.4 |
pci-dss-v4.0-resources-have-required-labels | Mewajibkan semua aplikasi berisi label yang ditentukan untuk memenuhi persyaratan firewall. | 1.2.7 |
pci-dss-v4.0-restrict-cluster-admin-role | Membatasi penggunaan peran cluster-admin .
|
7.2.1, 7.2.2, 7.2.5, 8.2.4 |
pci-dss-v4.0-restrict-creation-with-default-serviceaccount | Membatasi pembuatan resource menggunakan akun layanan default. Tidak berpengaruh selama audit. | 2.2.2 |
pci-dss-v4.0-restrict-default-namespace | Membatasi pod agar tidak menggunakan namespace default. | 2.2.3 |
pci-dss-v4.0-restrict-ingress | Membatasi pembuatan objek Ingress .
|
1.3.1, 1.4.2, 1.4.4 |
pci-dss-v4.0-restrict-node-image | Memastikan waktu yang konsisten dan tepat di Node dengan hanya mengizinkan Container-Optimized OS atau Ubuntu sebagai OS image. | 10.6.1, 10.6.2, 10.6.3 |
pci-dss-v4.0-restrict-pods-exec | Membatasi penggunaan pods/exec di Roles dan ClusterRoles .
|
8.6.1 |
pci-dss-v4.0-restrict-rbac-subjects | Membatasi penggunaan nama dalam subjek RBAC pada nilai yang diizinkan. | 7.3.2, 8.2.1, 8.2.2, 8.2.4 |
pci-dss-v4.0-restrict-role-wildcards | Membatasi penggunaan karakter pengganti di Roles dan ClusterRoles .
|
7.3.3, 8.2.4 |
pci-dss-v4.0-restrict-storageclass | Membatasi StorageClass ke daftar StorageClass yang dienkripsi secara default.
|
3.3.2, 3.3.3 |
Sebelum memulai
- Instal dan inisialisasi Google Cloud CLI, yang menyediakan perintah
gcloud
dankubectl
yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah terinstal. - Instal Pengontrol Kebijakan v1.16.0 atau versi yang lebih baru di cluster Anda dengan library default template batasan. Anda juga harus mengaktifkan dukungan untuk batasan referensial karena paket ini berisi batasan referensial.
Mengonfigurasi Pengontrol Kebijakan untuk batasan referensial
Simpan manifes YAML berikut ke file sebagai
policycontroller-config.yaml
. Manifes mengonfigurasi Pengontrol Kebijakan untuk mengawasi jenis objek tertentu.apiVersion: config.gatekeeper.sh/v1alpha1 kind: Config metadata: name: config namespace: "gatekeeper-system" spec: sync: syncOnly: - group: "networking.k8s.io" version: "v1" kind: "NetworkPolicy" - group: "admissionregistration.k8s.io" version: "v1" kind: "ValidatingWebhookConfiguration" - group: "storage.k8s.io" version: "v1" kind: "StorageClass"
Terapkan manifes
policycontroller-config.yaml
:kubectl apply -f policycontroller-config.yaml
Mengonfigurasi workload cluster Anda untuk PCI-DSS v4.0
- Semua aplikasi (
ReplicaSet
,Deployment
,StatefulSet
,DaemonSet
) harus menyertakan anotasinetwork-controls/date
dengan skemaYYYY-MM-DD
. - Solusi antivirus diperlukan. Defaultnya adalah adanya
daemonset
bernamaclamav
diclamav
Namespace
, tetapi nama dan namespacedaemonset
dapat disesuaikan dengan implementasi Anda di batasanpci-dss-v4.0-require-av-daemonset
. - Pengaktifan dan konfigurasi Otorisasi Biner diperlukan di
pci-dss-v4.0-require-binauthz
. - Semua
BackendConfig
harus dikonfigurasi untuk CloudArmor. - Config Sync harus ada dan diaktifkan.
- Setiap
Namespace
yang ditentukan dalam cluster memilikiNetworkPolicy
tolak default untuk traffic keluar, pengecualian yang diizinkan dapat bersifat spesifik dipci-dss-v4.0-require-namespace-network-policies
. - Penggunaan Config Sync untuk
configmanagement.gke.io
diwajibkan secara default, tetapi nilaiapp.kubernetes.io/managed-by
yang diizinkan dapat disesuaikan di batasanpci-dss-v4.0-enforce-managed-by-configmanagement-label
. - Setiap
Namespace
yang ditentukan dalam cluster harus memilikiNetworkPolicy
. - Jika menggunakan Cloud Service Mesh, ASM PeerAuthentication harus menggunakan
spec.mtls.mode: STRICT
mTLS yang ketat. - Hanya rentang IP yang diizinkan yang dapat digunakan untuk Ingress dan Express. Rentang ini dapat ditentukan di
pci-dss-v4.0-require-valid-network-ranges
. - Semua aplikasi (
ReplicaSet
,Deployment
,StatefulSet
, danDaemonSet
) harus menyertakanpci-dss-firewall-audit label
dengan skemapci-dss-[0-9]{4}q[1-4]
. - Penggunaan admin cluster
ClusterRole
tidak diizinkan. - Resource tidak dapat dibuat menggunakan akun layanan default.
Namespace
default tidak dapat digunakan untuk pod.- Hanya objek Ingress yang diizinkan (
Ingress
,Gateway
, danService
jenisNodePort
danLoadBalancer
) yang dapat dibuat, keduanya dapat ditentukan dipci-dss-v4.0-restrict-ingress
. - Semua node harus menggunakan Container-Optimized OS atau Ubuntu untuk image-nya agar memiliki waktu yang konsisten.
- Penggunaan karakter pengganti atau izin
pods/exec
dalamRoles
danClusterRoles
tidak diizinkan. - Hanya subjek yang diizinkan yang dapat digunakan dalam binding RBAC, nama domain Anda dapat ditentukan di
pci-dss-v4.0-restrict-rbac-subjects
. - Penggunaan enkripsi secara default
StorageClass
diwajibkan dipci-dss-v4.0-restrict-storageclass
.
Paket kebijakan Audit PCI-DSS v4.0
Pengontrol Kebijakan dapat digunakan untuk menerapkan kebijakan untuk cluster Kubernetes. Untuk membantu menguji workload dan kepatuhannya terhadap kebijakan PCI-DSS v4.0 yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkap pelanggaran dan yang lebih penting, memberi diri Anda kesempatan untuk memperbaikinya sebelum menerapkannya pada cluster Kubernetes Anda.
Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction
yang ditetapkan ke dryrun
menggunakan kubectl,
kpt,
atau
Config Sync.
kubectl
(Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:
kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v4.0
Terapkan batasan kebijakan dengan kubectl:
kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v4.0
Output-nya adalah sebagai berikut:
asmpeerauthnstrictmtls.constraints.gatekeeper.sh/pci-dss-v4.0-require-peer-authentication-strict-mtls created k8sblockallingress.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-ingress created k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-creation-with-default-serviceaccount created k8senforcecloudarmorbackendconfig.constraints.gatekeeper.sh/pci-dss-v4.0-require-cloudarmor-backendconfig created k8senforceconfigmanagement.constraints.gatekeeper.sh/pci-dss-v4.0-require-config-management created k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-role-wildcards created k8srequirebinauthz.constraints.gatekeeper.sh/pci-dss-v4.0-require-binauthz created k8srequirecosnodeimage.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-node-image created k8srequiredaemonsets.constraints.gatekeeper.sh/pci-dss-v4.0-require-av-daemonset created k8srequiredefaultdenyegresspolicy.constraints.gatekeeper.sh/pci-dss-v4.0-require-default-deny-network-policies created k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/pci-dss-v4.0-require-namespace-network-policies created k8srequirevalidrangesfornetworks.constraints.gatekeeper.sh/pci-dss-v4.0-require-valid-network-ranges created k8srequiredannotations.constraints.gatekeeper.sh/pci-dss-v4.0-require-apps-annotations created k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v4.0-require-managed-by-label created k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v4.0-resources-have-required-labels created k8srestrictnamespaces.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-default-namespace created k8srestrictrbacsubjects.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-rbac-subjects created k8srestrictrolebindings.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-cluster-admin-role created k8srestrictrolerules.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-pods-exec created k8sstorageclass.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-storageclass created
Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:
kubectl get constraints -l policycontroller.gke.io/bundleName=pci-dss-v4.0
Outputnya mirip dengan hal berikut ini:
NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS asmpeerauthnstrictmtls.constraints.gatekeeper.sh/pci-dss-v4.0-require-peer-authentication-strict-mtls dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockallingress.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-ingress dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-creation-with-default-serviceaccount dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8senforcecloudarmorbackendconfig.constraints.gatekeeper.sh/pci-dss-v4.0-require-cloudarmor-backendconfig dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8senforceconfigmanagement.constraints.gatekeeper.sh/pci-dss-v4.0-require-config-management dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-role-wildcards dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirebinauthz.constraints.gatekeeper.sh/pci-dss-v4.0-require-binauthz dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirecosnodeimage.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-node-image dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredaemonsets.constraints.gatekeeper.sh/pci-dss-v4.0-require-av-daemonset dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredannotations.constraints.gatekeeper.sh/pci-dss-v4.0-require-apps-annotations dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredefaultdenyegresspolicy.constraints.gatekeeper.sh/pci-dss-v4.0-require-default-deny-network-policies dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v4.0-require-managed-by-label dryrun 0 k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v4.0-resources-have-required-labels dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/pci-dss-v4.0-require-namespace-network-policies dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirevalidrangesfornetworks.constraints.gatekeeper.sh/pci-dss-v4.0-require-valid-network-ranges dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictnamespaces.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-default-namespace dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrbacsubjects.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-rbac-subjects dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrolebindings.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-cluster-admin-role dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrolerules.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-pods-exec dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sstorageclass.constraints.gatekeeper.sh/pci-dss-v4.0-restrict-storageclass dryrun 0
kpt
Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.
Download paket kebijakan PCI-DSS v4.0 dari GitHub menggunakan kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v4.0
Jalankan fungsi kpt
set-enforcement-action
untuk menetapkan tindakan penerapan kebijakan kedryrun
:kpt fn eval pci-dss-v4.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \ -- enforcementAction=dryrun
Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:
cd pci-dss-v4.0 kpt live init
Terapkan batasan kebijakan dengan kpt:
kpt live apply
Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:
kpt live status --output table --poll-until current
Status
CURRENT
mengonfirmasi keberhasilan penginstalan batasan.
Config Sync
- Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Ubah ke direktori sinkronisasi untuk Config Sync:
cd SYNC_ROOT_DIR
Untuk membuat atau menambahkan
.gitignore
denganresourcegroup.yaml
:echo resourcegroup.yaml >> .gitignore
Buat direktori
policies
khusus:mkdir -p policies
Download paket kebijakan PCI-DSS v4.0 dari GitHub menggunakan kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v4.0 policies/pci-dss-v4.0
Jalankan fungsi kpt
set-enforcement-action
untuk menetapkan tindakan penerapan kebijakan kedryrun
:kpt fn eval policies/pci-dss-v4.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
(Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:
kpt live init policies/pci-dss-v4.0 kpt live apply --dry-run policies/pci-dss-v4.0
Jika direktori sinkronisasi untuk Config Sync menggunakan Kustomize, tambahkan
policies/pci-dss-v4.0
kekustomization.yaml
root Anda. Jika tidak, hapus filepolicies/pci-dss-v4.0/kustomization.yaml
:rm SYNC_ROOT_DIR/policies/pci-dss-v4.0/kustomization.yaml
Kirim perubahan ke repositori Config Sync:
git add SYNC_ROOT_DIR/policies/pci-dss-v4.0 git commit -m 'Adding PCI-DSS v4.0 policy audit enforcement' git push
Verifikasi status penginstalan:
watch gcloud beta container fleet config-management status --project PROJECT_ID
Status
SYNCED
mengonfirmasi penginstalan kebijakan.
Lihat pelanggaran kebijakan
Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.
Anda juga dapat menggunakan kubectl
untuk melihat pelanggaran di cluster menggunakan perintah berikut:
kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v4.0 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
Jika ditemukan pelanggaran, listingan pesan pelanggaran per batasan dapat dilihat dengan:
kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v4.0 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
Mengubah tindakan penegakan paket kebijakan PCI-DSS v4.0
Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan
untuk mengubah mode penerapan sehingga Pengontrol Penerimaan akan melakukan warn
pada
atau bahkan deny
memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.
kubectl
Gunakan kubectl untuk menetapkan tindakan penerapan kebijakan ke
warn
:kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v4.0 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
Pastikan tindakan penegakan batasan kebijakan telah diperbarui:
kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v4.0
kpt
Jalankan fungsi kpt
set-enforcement-action
untuk menetapkan tindakan penerapan kebijakan kewarn
:kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Terapkan batasan kebijakan:
kpt live apply
Config Sync
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Ubah ke direktori sinkronisasi untuk Config Sync:
cd SYNC_ROOT_DIR
Jalankan fungsi kpt
set-enforcement-action
untuk menetapkan tindakan penerapan kebijakan kewarn
:kpt fn eval policies/pci-dss-v4.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Kirim perubahan ke repositori Config Sync:
git add SYNC_ROOT_DIR/policies/pci-dss-v4.0 git commit -m 'Adding PCI-DSS v4.0 policy bundle warn enforcement' git push
Verifikasi status penginstalan:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Repositori Anda yang muncul di kolom
SYNCED
mengonfirmasi penginstalan kebijakan.
Menguji penerapan kebijakan
Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:
cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
namespace: default
name: wp-non-compliant
labels:
app: wordpress
spec:
containers:
- image: wordpress
name: wordpress
ports:
- containerPort: 80
name: wordpress
EOF
Pengontrol penerimaan harus menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilanggar resource ini, seperti yang ditampilkan dalam contoh berikut:
Warning: [pci-dss-v4.0-restrict-default-namespace] <default> namespace is restricted pod/wp-non-compliant created
Hapus paket kebijakan PCI-DSS v4.0
Jika perlu, paket kebijakan PCI-DSS v4.0 dapat dihapus dari cluster.
kubectl
Gunakan kubectl untuk menghapus kebijakan:
kubectl delete constraint -l policycontroller.gke.io/bundleName=pci-dss-v4.0
kpt
Hapus kebijakan:
kpt live destroy
Config Sync
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Kirim perubahan ke repositori Config Sync:
git rm -r SYNC_ROOT_DIR/policies/pci-dss-v4.0 git commit -m 'Removing PCI-DSS v4.0 policies' git push
Verifikasi statusnya:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Repositori Anda yang muncul di kolom
SYNCED
mengonfirmasi penghapusan kebijakan.