Halaman ini diterjemahkan oleh Cloud Translation API.

Menggunakan batasan kebijakan Policy Essentials v2022

Pengontrol Kebijakan dilengkapi dengan library default yang berisi template batasan yang dapat digunakan dengan Paket Kebijakan Essentials v2022 untuk menerapkan praktik terbaik yang direkomendasikan Google ke resource cluster Anda.

Halaman ini ditujukan untuk admin IT dan Operator yang ingin memastikan bahwa semua resource yang berjalan dalam platform {i>cloud<i} memenuhi persyaratan persyaratan kepatuhan dengan menyediakan dan mempertahankan otomatisasi untuk terapkan. Untuk mempelajari lebih lanjut tentang peran umum dan contoh tugas yang kami rujuk di konten Google Cloud, lihat Peran dan tugas pengguna GKE Enterprise yang umum.

Paket batasan ini mengatasi dan menerapkan kebijakan dalam hal berikut domain:

RBAC dan akun layanan
Kebijakan Keamanan Pod
Antarmuka Jaringan Container (CNI)
Pengelolaan rahasia
Kebijakan umum

Batasan paket kebijakan Policy Essentials

Nama Batasan	Deskripsi Batasan
policy-essentials-v2022-no-secrets-as-env-vars	Lebih suka menggunakan Secret sebagai file daripada Secret sebagai variabel lingkungan
policy-essentials-v2022-pods-require-security-context	Menerapkan Konteks Keamanan ke Pod dan container
policy-essentials-v2022-prohibit-role-wildcard-access	Minimalkan penggunaan karakter pengganti dalam Roles dan ClusterRoles.
policy-essentials-v2022-psp-allow-privilege-escalation-container	Meminimalkan penerimaan container dengan allowPrivilegeEscalation
policy-essentials-v2022-psp-capabilities	Container harus menghapus kemampuan `NET_RAW` dan tidak diizinkan untuk menambahkan kembali kemampuan apa pun.
policy-essentials-v2022-psp-host-namespace	Minimalkan penerimaan penampung dengan `hostPID` atau `hostIPC` yang ditetapkan ke `true`.
policy-essentials-v2022-psp-host-network-ports	Meminimalkan penerimaan container yang ingin membagikan jaringan host ruang nama
policy-essentials-v2022-psp-privileged-container	Meminimalkan penerimaan container dengan hak istimewa
policy-essentials-v2022-psp-pods-must-run-as-nonroot	Meminimalkan penerimaan container root
policy-essentials-v2022-psp-seccomp-default	Pastikan profil seccomp disetel ke `runtime/default` atau `docker/default` dalam definisi Pod
policy-essentials-v2022-restrict-clusteradmin-rolebindings	Minimalkan penggunaan peran admin cluster.

Sebelum memulai

Instal dan inisialisasikan Google Cloud CLI, yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah terinstal.
Menginstal Pengontrol Kebijakan v1.14.3 atau yang lebih tinggi di cluster Anda dengan library default constraint template.

Paket kebijakan Dasar-Dasar Kebijakan Audit

Pengontrol Kebijakan dapat digunakan untuk menerapkan kebijakan untuk cluster Kubernetes. Untuk membantu menguji beban kerja dan kepatuhannya terhadap rekomendasi Google terbaik yang dijelaskan dalam tabel sebelumnya, Anda dapat men-deploy batasan tersebut di "audit" mode untuk mengungkapkan pelanggaran dan yang lebih penting lagi, memberi diri Anda kesempatan untuk memperbaikinya sebelum menerapkannya di cluster Kubernetes Anda.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction yang disetel ke dryrun menggunakan kubectl, kpt, atau Sinkronisasi Konfigurasi.

kubectl

(Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022

Terapkan batasan kebijakan dengan kubectl:

kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022

Outputnya adalah sebagai berikut:

k8snoenvvarsecrets.constraints.gatekeeper.sh/policy-essentials-v2022-no-secrets-as-env-vars created
k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-allow-privilege-escalation created
k8spspallowedusers.constraints.gatekeeper.sh/policy-essentials-v2022-psp-pods-must-run-as-nonroot created
k8spspcapabilities.constraints.gatekeeper.sh/policy-essentials-v2022-psp-capabilities created
k8spsphostnamespace.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-namespace created
k8spsphostnetworkingports.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-network-ports created
k8spspprivilegedcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-privileged-container created
k8spspseccomp.constraints.gatekeeper.sh/policy-essentials-v2022-psp-seccomp-default created
k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/policy-essentials-v2022-pods-require-security-context created
k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/policy-essentials-v2022-prohibit-role-wildcard-access created
k8srestrictrolebindings.constraints.gatekeeper.sh/policy-essentials-v2022-restrict-clusteradmin-rolebindings created

Pastikan batasan kebijakan telah diinstal dan periksa apakah terdapat pelanggaran di seluruh cluster:

kubectl get -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022

Outputnya mirip dengan hal berikut ini:

NAME                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8snoenvvarsecrets.constraints.gatekeeper.sh/policy-essentials-v2022-no-secrets-as-env-vars   dryrun               0

NAME                                                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-allow-privilege-escalation   dryrun               0

NAME                                                                                                ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspallowedusers.constraints.gatekeeper.sh/policy-essentials-v2022-psp-pods-must-run-as-nonroot   dryrun               0

NAME                                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspcapabilities.constraints.gatekeeper.sh/policy-essentials-v2022-psp-capabilities   dryrun               0

NAME                                                                                       ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spsphostnamespace.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-namespace   dryrun               0

NAME                                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spsphostnetworkingports.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-network-ports   dryrun               0

NAME                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspprivilegedcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-privileged-container   dryrun               0

NAME                                                                                  ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spspseccomp.constraints.gatekeeper.sh/policy-essentials-v2022-psp-seccomp-default   dryrun               0

NAME                                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/policy-essentials-v2022-pods-require-security-context   dryrun               0

NAME                                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/policy-essentials-v2022-prohibit-role-wildcard-access   dryrun               0

NAME                                                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictrolebindings.constraints.gatekeeper.sh/policy-essentials-v2022-restrict-clusteradmin-rolebindings   dryrun               0

kpt

Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Download paket kebijakan Policy Essentials v2022 dari GitHub menggunakan kpt:

kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022

Menjalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap dryrun:
```
kpt fn eval policy-essentials-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
  -- enforcementAction=dryrun
```
Menginisialisasi direktori kerja dengan kpt, yang membuat resource untuk lacak perubahan:
```
cd policy-essentials-v2022
kpt live init
```

Terapkan batasan kebijakan dengan kpt:

kpt live apply

Outputnya adalah sebagai berikut:

k8spspseccomp.constraints.gatekeeper.sh/policy-essentials-v2022-psp-seccomp-docker-default created
k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/policy-essentials-v2022-pods-require-security-context created
k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/policy-essentials-v2022-prohibit-role-wildcard-access created
k8snoenvvarsecrets.constraints.gatekeeper.sh/policy-essentials-v2022-no-secrets-as-env-vars created
k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-allow-privilege-escalation-container created
k8spspallowedusers.constraints.gatekeeper.sh/policy-essentials-v2022-psp-pods-must-run-as-nonroot created
k8spsphostnetworkingports.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-network-ports created
k8srestrictrolebindings.constraints.gatekeeper.sh/policy-essentials-v2022-restrict-clusteradmin-rolebindings created
k8spspcapabilities.constraints.gatekeeper.sh/policy-essentials-v2022-psp-capabilities created
k8spsphostnamespace.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-namespace created
k8spspprivilegedcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-privileged-container created
11 resource(s) applied. 11 created, 0 unchanged, 0 configured, 0 failed

Pastikan batasan kebijakan telah diinstal dan periksa apakah terdapat pelanggaran di seluruh cluster:
```
kpt live status --output table --poll-until current
```
Status CURRENT mengonfirmasi keberhasilan penginstalan batasan data.

Config Sync

Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:

Ubah ke direktori sinkronisasi untuk Config Sync:
```
cd SYNC_ROOT_DIR
```
Catatan: Kpt v1.0.0-beta.17 dan yang lebih baru secara otomatis membuat resourcegroup.yaml file selama live init yang tidak boleh diperiksa ke repositori Config Sync Anda. Jika belum ada, tambahkan resourcegroup.yaml ke file .gitignore repo Anda.

Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml:
```
echo resourcegroup.yaml >> .gitignore
```
Buat direktori policies khusus:
```
mkdir -p policies
```

Download paket kebijakan Policy Essentials v2022 dari GitHub menggunakan kpt:

kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/policy-essentials-v2022 policies/policy-essentials-v2022

Menjalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap dryrun:

kpt fn eval policies/policy-essentials-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun

(Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

kpt live init policies/policy-essentials-v2022
kpt live apply --dry-run policies/policy-essentials-v2022

Outputnya adalah sebagai berikut:

Dry-run strategy: client
inventory update started
inventory update finished
apply phase started
k8snoenvvarsecrets.constraints.gatekeeper.sh/policy-essentials-v2022-no-secrets-as-env-vars apply successful
k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-allow-privilege-escalation apply successful
k8spspallowedusers.constraints.gatekeeper.sh/policy-essentials-v2022-psp-pods-must-run-as-nonroot apply successful
k8spspcapabilities.constraints.gatekeeper.sh/policy-essentials-v2022-psp-capabilities apply successful
k8spsphostnamespace.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-namespace apply successful
k8spsphostnetworkingports.constraints.gatekeeper.sh/policy-essentials-v2022-psp-host-network-ports apply successful
k8spspprivilegedcontainer.constraints.gatekeeper.sh/policy-essentials-v2022-psp-privileged-container apply successful
k8spspseccomp.constraints.gatekeeper.sh/policy-essentials-v2022-psp-seccomp-default apply successful
k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/policy-essentials-v2022-pods-require-security-context apply successful
k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/policy-essentials-v2022-prohibit-role-wildcard-access apply successful
k8srestrictrolebindings.constraints.gatekeeper.sh/policy-essentials-v2022-restrict-clusteradmin-rolebindings apply successful
apply phase finished
inventory update started
inventory update finished
apply result: 11 attempted, 11 successful, 0 skipped, 0 failed

Jika direktori sinkronisasi untuk Config Sync menggunakan Kustomize, tambahkan policies/policy-essentials-v2022 ke kustomization.yaml root Anda. Jika tidak, hapus file policies/policy-essentials-v2022/kustomization.yaml:
```
rm SYNC_ROOT_DIR/policies/policy-essentials-v2022/kustomization.yaml
```

Mengirim perubahan ke repo Config Sync:

git add SYNC_ROOT_DIR/policy-essentials-v2022
git commit -m 'Adding Policy Essentials v2022 policy audit enforcement'
git push

Verifikasi status penginstalan:

watch gcloud beta container fleet config-management status --project PROJECT_ID

Status SYNCED mengonfirmasi penginstalan kebijakan.

Lihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran di cluster menggunakan perintah berikut:

kubectl get constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Jika ditemukan pelanggaran, listingan pesan pelanggaran per batasan dapat dilihat dengan:

kubectl get constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Tindakan penerapan paket kebijakan Perubahan Kebijakan Essentials

Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan mengubah mode penerapan sehingga Pengontrol Penerimaan akan warn aktif atau bahkan deny akan memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.

kubectl

Gunakan kubectl untuk menetapkan kebijakan' tindakan penegakan kebijakan untuk warn:

kubectl get constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'

Pastikan tindakan penegakan batasan kebijakan telah diperbarui:

kubectl get constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022

kpt

Menjalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap warn:
```
kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
```
Terapkan batasan kebijakan:
```
kpt live apply
```

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:

Ubah ke direktori sinkronisasi untuk Config Sync:
```
cd SYNC_ROOT_DIR
```

Menjalankan set-enforcement-action fungsi kpt untuk menetapkan kebijakan tindakan penegakan kebijakan terhadap warn:

kpt fn eval policies/policy-essentials-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn

Mengirim perubahan ke repo Config Sync:

git add SYNC_ROOT_DIR/policies/policy-essentials-v2022
git commit -m 'Adding Policy Essentials policy bundle warn enforcement'
git push

Verifikasi status penginstalan:
```
gcloud alpha anthos config sync repo list --project PROJECT_ID
```
Repositori Anda yang muncul di kolom SYNCED mengonfirmasi penginstalan kebijakan tersebut.

Menguji penerapan kebijakan

Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

Pengontrol penerimaan harus memberikan peringatan yang mencantumkan kebijakan pelanggaran yang dilanggar oleh resource ini, seperti yang ditunjukkan dalam contoh berikut:

Warning: [policy-essentials-v2022-psp-capabilities] container <wordpress> is not dropping all required capabilities. Container must drop all of ["NET_RAW"] or "ALL"
pod/wp-non-compliant created

Menghapus paket kebijakan Dasar-Dasar Kebijakan

Jika diperlukan, paket kebijakan Dasar-Dasar Kebijakan dapat dihapus dari cluster.

kubectl

Gunakan kubectl untuk menghapus kebijakan:

kubectl delete constraint -l policycontroller.gke.io/bundleName=policy-essentials-v2022

kpt

Hapus kebijakan:
```
kpt live destroy
```

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat digunakan petunjuk berikut:

Mengirim perubahan ke repo Config Sync:

git rm -r SYNC_ROOT_DIR/policies/policy-essentials-v2022
git commit -m 'Removing Policy Essentials v2022 policies'
git push

Verifikasi statusnya:
```
gcloud alpha anthos config sync repo list --project PROJECT_ID
```
Repositori Anda yang muncul di kolom SYNCED mengonfirmasi penghapusan kebijakan tersebut.