Menggunakan batasan kebijakan Policy Essentials v2022

Pengontrol Kebijakan dilengkapi dengan library default template batasan yang dapat digunakan dengan paket Policy Essentials v2022 untuk menerapkan praktik terbaik yang direkomendasikan Google ke resource cluster Anda.

Halaman ini berisi petunjuk untuk menerapkan paket kebijakan secara manual. Atau, Anda dapat menerapkan paket kebijakan secara langsung.

Peringatan: Setelah Anda memilih metode untuk menerapkan paket kebijakan (manual, gcloud CLI, atau konsol Google Cloud), menggunakan metode lain untuk menginstal paket kebijakan dapat menyebabkan error di lingkungan Anda.

Halaman ini ditujukan bagi administrator IT dan Operator yang ingin memastikan bahwa semua resource yang berjalan dalam platform cloud memenuhi persyaratan kepatuhan organisasi dengan menyediakan dan mempertahankan otomatisasi untuk mengaudit atau menerapkan. Untuk mempelajari lebih lanjut peran umum dan contoh tugas yang kami referensikan dalam konten Google Cloud, lihat Peran dan tugas pengguna GKE Enterprise umum.

Kumpulan batasan ini membahas dan menerapkan kebijakan di domain berikut:

• RBAC dan akun layanan
• Kebijakan Keamanan Pod
• Container Network Interface (CNI)
• Pengelolaan rahasia
• Kebijakan umum

Batasan paket kebijakan Policy Essentials

Nama Batasan	Deskripsi Batasan
policy-essentials-v2022-no-secrets-as-env-vars	Lebih memilih menggunakan Secret sebagai file daripada Secret sebagai variabel lingkungan
policy-essentials-v2022-pods-require-security-context	Menerapkan Konteks Keamanan ke Pod dan container Anda
policy-essentials-v2022-prohibit-role-wildcard-access	Minimalkan penggunaan karakter pengganti dalam Peran dan ClusterRole.
policy-essentials-v2022-psp-allow-privilege-escalation-container	Meminimalkan penerimaan container dengan allowPrivilegeEscalation
policy-essentials-v2022-psp-capabilities	Container harus menghapus kemampuan `NET_RAW` dan tidak diizinkan untuk menambahkan kembali kemampuan apa pun.
policy-essentials-v2022-psp-host-namespace	Meminimalkan penerimaan container dengan `hostPID` atau `hostIPC` yang disetel ke `true`.
policy-essentials-v2022-psp-host-network-ports	Meminimalkan penerimaan container yang ingin berbagi namespace jaringan host
policy-essentials-v2022-psp-privileged-container	Meminimalkan penerimaan container dengan hak istimewa
policy-essentials-v2022-psp-pods-must-run-as-nonroot	Meminimalkan penerimaan container root
policy-essentials-v2022-psp-seccomp-default	Pastikan profil seccomp disetel ke `runtime/default` atau `docker/default` dalam definisi Pod Anda
policy-essentials-v2022-restrict-clusteradmin-rolebindings	Minimalkan penggunaan peran cluster-admin.

Sebelum memulai

1. Instal dan lakukan inisialisasi pada Google Cloud CLI, yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah diinstal sebelumnya.
2. Instal Pengontrol Kebijakan v1.14.3 atau yang lebih baru di cluster Anda dengan library template batasan default.

Paket kebijakan Audit Policy Essentials

Pengontrol Kebijakan memungkinkan Anda menerapkan kebijakan untuk cluster Kubernetes. Untuk membantu menguji workload dan kepatuhannya sehubungan dengan praktik terbaik yang direkomendasikan Google yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkapkan pelanggaran dan yang lebih penting memberi Anda kesempatan untuk memperbaikinya sebelum menerapkannya di cluster Kubernetes.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction ditetapkan ke dryrun menggunakan kubectl, kpt, atau Config Sync.

kubectl

1. (Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022
   

2. Terapkan batasan kebijakan dengan kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022
   

   Outputnya adalah sebagai berikut:

   k8snoenvvarsecrets.constraints.gatekeeper.sh/policy-essentials-v2022-no-secrets-as-env-vars created
   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-allow-privilege-escalation created
   k8spspallowedusers.constraints.gatekeeper.sh/policy-essentials-v2022-psp-pods-must-run-as-nonroot created
   k8spspcapabilities.constraints.gatekeeper.sh/policy-essentials-v2022-psp-capabilities created
   k8spsphostnamespace.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-namespace created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-network-ports created
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-privileged-container created
   k8spspseccomp.constraints.gatekeeper.sh/policy-essentials-v2022-psp-seccomp-default created
   k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/policy-essentials-v2022-pods-require-security-context created
   k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/policy-essentials-v2022-prohibit-role-wildcard-access created
   k8srestrictrolebindings.constraints.gatekeeper.sh/policy-essentials-v2022-restrict-clusteradmin-rolebindings created
   

3. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

   kubectl get -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022
   

   Outputnya mirip dengan hal berikut ini:

   NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8snoenvvarsecrets.constraints.gatekeeper.sh/policy-essentials-v2022-no-secrets-as-env-vars   dryrun               0
   
   NAME                                                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-allow-privilege-escalation   dryrun               0
   
   NAME                                                                                                ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspallowedusers.constraints.gatekeeper.sh/policy-essentials-v2022-psp-pods-must-run-as-nonroot   dryrun               0
   
   NAME                                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspcapabilities.constraints.gatekeeper.sh/policy-essentials-v2022-psp-capabilities   dryrun               0
   
   NAME                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnamespace.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-namespace   dryrun               0
   
   NAME                                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnetworkingports.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-network-ports   dryrun               0
   
   NAME                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-privileged-container   dryrun               0
   
   NAME                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspseccomp.constraints.gatekeeper.sh/policy-essentials-v2022-psp-seccomp-default   dryrun               0
   
   NAME                                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/policy-essentials-v2022-pods-require-security-context   dryrun               0
   
   NAME                                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/policy-essentials-v2022-prohibit-role-wildcard-access   dryrun               0
   
   NAME                                                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8srestrictrolebindings.constraints.gatekeeper.sh/policy-essentials-v2022-restrict-clusteradmin-rolebindings   dryrun               0
   

kpt

1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

2. Download paket kebijakan Policy Essentials v2022 dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022
   

3. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

   kpt fn eval policy-essentials-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
     -- enforcementAction=dryrun
   

4. Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:

   cd policy-essentials-v2022
   kpt live init
   

5. Terapkan batasan kebijakan dengan kpt:

   kpt live apply
   

   Outputnya adalah sebagai berikut:

   k8spspseccomp.constraints.gatekeeper.sh/policy-essentials-v2022-psp-seccomp-docker-default created
   k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/policy-essentials-v2022-pods-require-security-context created
   k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/policy-essentials-v2022-prohibit-role-wildcard-access created
   k8snoenvvarsecrets.constraints.gatekeeper.sh/policy-essentials-v2022-no-secrets-as-env-vars created
   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-allow-privilege-escalation-container created
   k8spspallowedusers.constraints.gatekeeper.sh/policy-essentials-v2022-psp-pods-must-run-as-nonroot created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-network-ports created
   k8srestrictrolebindings.constraints.gatekeeper.sh/policy-essentials-v2022-restrict-clusteradmin-rolebindings created
   k8spspcapabilities.constraints.gatekeeper.sh/policy-essentials-v2022-psp-capabilities created
   k8spsphostnamespace.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-namespace created
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-privileged-container created
   11 resource(s) applied. 11 created, 0 unchanged, 0 configured, 0 failed
   

6. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

   kpt live status --output table --poll-until current
   

   Status CURRENT mengonfirmasi bahwa penginstalan batasan berhasil.

Config Sync

1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

   Catatan: Kpt v1.0.0-beta.17 dan yang lebih baru otomatis membuat file resourcegroup.yaml selama live init yang tidak boleh diperiksa ke repo Config Sync Anda. Jika belum ada, tambahkan resourcegroup.yaml ke file .gitignore repo Anda.

   Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

2. Buat direktori policies khusus:

   mkdir -p policies
   

3. Download paket kebijakan Policy Essentials v2022 dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022 policies/policy-essentials-v2022
   

4. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

   kpt fn eval policies/policy-essentials-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

5. (Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

   kpt live init policies/policy-essentials-v2022
   kpt live apply --dry-run policies/policy-essentials-v2022
   

   Outputnya adalah sebagai berikut:

   Dry-run strategy: client
   inventory update started
   inventory update finished
   apply phase started
   k8snoenvvarsecrets.constraints.gatekeeper.sh/policy-essentials-v2022-no-secrets-as-env-vars apply successful
   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-allow-privilege-escalation apply successful
   k8spspallowedusers.constraints.gatekeeper.sh/policy-essentials-v2022-psp-pods-must-run-as-nonroot apply successful
   k8spspcapabilities.constraints.gatekeeper.sh/policy-essentials-v2022-psp-capabilities apply successful
   k8spsphostnamespace.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-namespace apply successful
   k8spsphostnetworkingports.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-network-ports apply successful
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-privileged-container apply successful
   k8spspseccomp.constraints.gatekeeper.sh/policy-essentials-v2022-psp-seccomp-default apply successful
   k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/policy-essentials-v2022-pods-require-security-context apply successful
   k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/policy-essentials-v2022-prohibit-role-wildcard-access apply successful
   k8srestrictrolebindings.constraints.gatekeeper.sh/policy-essentials-v2022-restrict-clusteradmin-rolebindings apply successful
   apply phase finished
   inventory update started
   inventory update finished
   apply result: 11 attempted, 11 successful, 0 skipped, 0 failed
   

6. Jika direktori sinkronisasi untuk Config Sync menggunakan Kustomize, tambahkan policies/policy-essentials-v2022 ke kustomization.yaml root Anda. Jika tidak, hapus file policies/policy-essentials-v2022/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/policy-essentials-v2022/kustomization.yaml
   

7. Kirim perubahan ke repo Config Sync:

   git add SYNC_ROOT_DIR/policy-essentials-v2022
   git commit -m 'Adding Policy Essentials v2022 policy audit enforcement'
   git push
   

8. Verifikasi status penginstalan:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Status SYNCED mengonfirmasi penginstalan kebijakan.

Melihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran di cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran di cluster menggunakan perintah berikut:

kubectl get constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Jika ada pelanggaran, daftar pesan pelanggaran per batasan dapat dilihat dengan:

kubectl get constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Mengubah tindakan penegakan paket kebijakan Dasar-Dasar Kebijakan

Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan untuk mengubah mode penerapan sehingga Pengontrol Akses akan warn aktif atau bahkan deny memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.

Peringatan: Tindakan penegakan deny harus digunakan dengan hati-hati karena dapat berpotensi memblokir perubahan yang diperlukan sehingga menyebabkan gangguan pada beban kerja penting atau cluster. Sebaiknya hanya tindakan penegakan warn atau dryrun yang digunakan di cluster dengan beban kerja produksi, saat menguji batasan baru, atau melakukan migrasi seperti mengupgrade platform. Untuk informasi selengkapnya tentang tindakan penegakan, lihat Audit menggunakan batasan.

kubectl

1. Gunakan kubectl untuk menetapkan tindakan penerapan kebijakan ke warn:

   kubectl get constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Pastikan tindakan penerapan batasan kebijakan telah diperbarui:

   kubectl get constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022
   

kpt

1. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Terapkan batasan kebijakan:

   kpt live apply
   

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

2. Jalankan fungsi kpt set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:

   kpt fn eval policies/policy-essentials-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Kirim perubahan ke repo Config Sync:

   git add SYNC_ROOT_DIR/policies/policy-essentials-v2022
   git commit -m 'Adding Policy Essentials policy bundle warn enforcement'
   git push
   

4. Verifikasi status penginstalan:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repo Anda yang muncul di kolom SYNCED mengonfirmasi penginstalan kebijakan.

Menguji penegakan kebijakan

Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

Pengontrol akses harus menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilanggar oleh resource ini, seperti yang ditunjukkan dalam contoh berikut:

Warning: [policy-essentials-v2022-psp-capabilities] container <wordpress> is not dropping all required capabilities. Container must drop all of ["NET_RAW"] or "ALL"
pod/wp-non-compliant created

Menghapus paket kebijakan Dasar-Dasar Kebijakan

Jika perlu, paket kebijakan Dasar-Dasar Kebijakan dapat dihapus dari cluster.

kubectl

• Gunakan kubectl untuk menghapus kebijakan:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022
  

kpt

• Hapus kebijakan:

  kpt live destroy
  

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Kirim perubahan ke repo Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/policy-essentials-v2022
   git commit -m 'Removing Policy Essentials v2022 policies'
   git push
   

2. Verifikasi status:

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   Repositori Anda yang muncul di kolom SYNCED mengonfirmasi penghapusan kebijakan.