Pod Security Standards Baseline ポリシー制約を使用する

Policy Controller には、Pod Security Standards Baseline バンドルで使用できる制約テンプレートのデフォルト ライブラリが付属しています。このバンドルを使用すると、Kubernetes Pod Security Standards（PSS）Baseline ポリシーと同じ多くの保護機能を実施できます。また、ポリシーを適用する前に特定のポリシーをテストして、特定のリソースの対象範囲を除外することもできます。

このページでは、ポリシー バンドルを手動で適用する手順について説明します。また、ポリシー バンドルを直接適用することもできます。

警告: ポリシー バンドルを適用する方法（手動、gcloud CLI、Google Cloud コンソール）を選択した後に別の方法でポリシー バンドルをインストールすると、環境でエラーが発生する可能性があります。

このページは、監査または適用のために自動化を行い、維持することで、クラウド プラットフォーム内で実行されているすべてのリソースが組織のコンプライアンス要件を確実に満たすようにする IT 管理者と運用担当者を対象としています。Google Cloud のコンテンツで参照する一般的なロールとタスク例の詳細については、一般的な GKE Enterprise ユーザーロールとタスクをご覧ください。

Pod Security Standards Baseline ポリシー バンドルの制約

制約名	制約の説明	設定名
pss-baseline-v2022-hostprocess	Windows HostProcess の使用	HostProcess
pss-baseline-v2022-host-namespaces-hostnetwork	ホスト ネットワーキングの使用	ホスト名前空間
pss-baseline-v2022-host-namespaces-host-pid-ipc	ホスト名前空間の使用
pss-baseline-v2022-privileged-containers	特権コンテナの実行	特権コンテナ
pss-baseline-v2022-capabilities	Linux 機能	機能
pss-baseline-v2022-hostpath-volumes	ホスト ファイル システムの使用	HostPath ボリューム
pss-baseline-v2022-host-ports	ホストポートの使用	ホストポート（構成可能）
pss-baseline-v2022-apparmor	コンテナで使用される AppArmor プロファイル	AppArmor
pss-baseline-v2022-selinux	コンテナの SELinux コンテキスト	SELinux
pss-baseline-v2022-proc-mount-type	コンテナで許可される Proc マウントタイプ	/proc マウントタイプ
pss-baseline-v2022-seccomp	コンテナで使用される seccomp プロファイル	Seccomp
pss-baseline-v2022-sysctls	コンテナで使用される sysctl プロファイル	Sysctls

始める前に

1. この手順で使用する gcloud コマンドと kubectl コマンドを含む Google Cloud CLI をインストールして初期化します。Cloud Shell を使用する場合、Google Cloud CLI がプリインストールされています。
2. 制約テンプレートのデフォルト ライブラリを使用して、クラスタに Policy Controller v1.14.1 以降をインストールします。

Pod Security Standards Baseline ポリシー バンドルを監査する

Policy Controller を使用すると、Kubernetes クラスタにポリシーを適用できます。前の表に概要を記載している、Google 推奨のベスト プラクティスに関するワークロードとそのコンプライアンスをテストする場合は、これらの制約を「監査」モードでデプロイできます。これにより、違反が明確になり、Kubernetes クラスタに適用する前に修正できます。

kubectl、kpt、または Config Sync を使用して spec.enforcementAction を dryrun に設定し、これらのポリシーを適用できます。

kubectl

1. （省略可）kubectl でポリシーの制約をプレビューします。

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/pss-baseline-v2022
   

2. kubectl でポリシーの制約を適用します。

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/pss-baseline-v2022
   

   次のような出力が表示されます。

   k8spspapparmor.constraints.gatekeeper.sh/pss-baseline-v2022-apparmor created
   k8spspcapabilities.constraints.gatekeeper.sh/pss-baseline-v2022-capabilities created
   k8spsphostfilesystem.constraints.gatekeeper.sh/pss-baseline-v2022-hostpath-volumes created
   k8spsphostnamespace.constraints.gatekeeper.sh/pss-baseline-v2022-host-namespaces-host-pid-ipc created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/pss-baseline-v2022-host-namespaces-hostnetwork created
   k8spsphostnetworkingports.constraints.gatekeeper.sh/pss-baseline-v2022-host-ports created
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/pss-baseline-v2022-privileged-containers created
   k8spspprocmount.constraints.gatekeeper.sh/pss-baseline-v2022-proc-mount-type created
   k8spspselinuxv2.constraints.gatekeeper.sh/pss-baseline-v2022-selinux created
   k8spspseccomp.constraints.gatekeeper.sh/pss-baseline-v2022-seccomp created
   k8spspforbiddensysctls.constraints.gatekeeper.sh/pss-baseline-v2022-sysctls created
   

3. ポリシーの制約がインストールされていることを確認し、クラスタ全体で違反の存在を確認します。

   kubectl get -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/pss-baseline-v2022
   

   出力は次のようになります。

   NAME                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspapparmor.constraints.gatekeeper.sh/pss-baseline-v2022-apparmor                        0
   
   NAME                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspcapabilities.constraints.gatekeeper.sh/pss-baseline-v2022-capabilities   dryrun               0
   
   NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostfilesystem.constraints.gatekeeper.sh/pss-baseline-v2022-hostpath-volumes                        0
   
   NAME                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnamespace.constraints.gatekeeper.sh/pss-baseline-v2022-host-namespaces-host-pid-ipc   dryrun               0
   
   NAME                                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spsphostnetworkingports.constraints.gatekeeper.sh/pss-baseline-v2022-host-namespaces-hostnetwork   dryrun               0
   k8spsphostnetworkingports.constraints.gatekeeper.sh/pss-baseline-v2022-host-ports                    dryrun               0
   
   NAME                                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/pss-baseline-v2022-privileged-containers   dryrun               0
   
   NAME                                                                           ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspprocmount.constraints.gatekeeper.sh/pss-baseline-v2022-proc-mount-type                        0
   
   NAME                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspselinuxv2.constraints.gatekeeper.sh/pss-baseline-v2022-selinux                        0
   
   NAME                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspseccomp.constraints.gatekeeper.sh/pss-baseline-v2022-seccomp   dryrun               0
   
   NAME                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspforbiddensysctls.constraints.gatekeeper.sh/pss-baseline-v2022-sysctls   dryrun               0
   

4. （省略可）pss-baseline-v2022-host-ports 制約を調整し、クラスタ環境の制限付きの既知の最小ポートリストを含めます。

   parameters:
     # A minimum restricted known list can be implemented here.
     min: 0
     max: 0
   

kpt

1. kpt をインストールして設定します。これらの手順では、kpt を使用して Kubernetes リソースのカスタマイズとデプロイを行います。

2. kpt を使用して GitHub から Pod Security Standards（PSS）Baseline v2022 ポリシー バンドルをダウンロードします。

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/pss-baseline-v2022
   

3. set-enforcement-action kpt 関数を実行して、ポリシーの違反措置を dryrun に設定します。

   kpt fn eval pss-baseline-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
     -- enforcementAction=dryrun
   

4. kpt を使用して作業ディレクトリを初期化します。これにより、変更を追跡するためのリソースが作成されます。

   cd pss-baseline-v2022
   kpt live init
   

5. （省略可）pss-baseline-v2022-host-ports 制約ファイルを調整し、クラスタ環境の制限付きの既知の最小ポートリストを含めます。

   parameters:
     # A minimum restricted known list can be implemented here.
     min: 0
     max: 0
   

6. kpt を使用してポリシーの制約を適用します。

   kpt live apply
   

7. ポリシーの制約がインストールされていることを確認し、クラスタ全体で違反の存在を確認します。

   kpt live status --output table --poll-until current
   

   ステータスが CURRENT の場合、制約が正常にインストールされています。

Config Sync

1. kpt をインストールして設定します。これらの手順では、kpt を使用して Kubernetes リソースのカスタマイズとデプロイを行います。

Config Sync を使用してクラスタにクラスタをデプロイするオペレータは、次の操作を行うことができます。

1. Config Sync の同期ディレクトリに移動します。

   cd SYNC_ROOT_DIR
   

   注: kpt v1.0.0-beta.17 以降では、live init の間に resourcegroup.yaml ファイルが自動的に作成されますが、このファイルは Config Sync リポジトリにチェックインしないでください。まだ存在しない場合は、リポジトリの .gitignore ファイルに resourcegroup.yaml を追加します。

   resourcegroup.yaml を使用して .gitignore を作成または追加するには:

   echo resourcegroup.yaml >> .gitignore
   

2. 専用の policies ディレクトリを作成します。

   mkdir -p policies
   

3. kpt を使用して GitHub から Pod Security Standards（PSS）Baseline v2022 ポリシー バンドルをダウンロードします。

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/bundles/pss-baseline-v2022 policies/pss-baseline-v2022
   

4. set-enforcement-action kpt 関数を実行して、ポリシーの違反措置を dryrun に設定します。

   kpt fn eval policies/pss-baseline-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

5. （省略可）pss-baseline-v2022-host-ports 制約ファイルを調整し、クラスタ環境の制限付きの既知の最小ポートリストを含めます。

   parameters:
     # A minimum restricted known list can be implemented here.
     min: 0
     max: 0
   

6. （省略可）作成されるポリシー制約をプレビューします。

   kpt live init policies/pss-baseline-v2022
   kpt live apply --dry-run policies/pss-baseline-v2022
   

   次のような出力が表示されます。

   Dry-run strategy: client
   inventory update started
   inventory update finished
   apply phase started
   k8spspapparmor.constraints.gatekeeper.sh/pss-baseline-v2022-apparmor apply successful
   k8spspcapabilities.constraints.gatekeeper.sh/pss-baseline-v2022-capabilities apply successful
   k8spsphostfilesystem.constraints.gatekeeper.sh/pss-baseline-v2022-hostpath-volumes apply successful
   k8spsphostnamespace.constraints.gatekeeper.sh/pss-baseline-v2022-host-namespaces-host-pid-ipc apply successful
   k8spsphostnetworkingports.constraints.gatekeeper.sh/pss-baseline-v2022-host-namespaces-hostnetwork apply successful
   k8spsphostnetworkingports.constraints.gatekeeper.sh/pss-baseline-v2022-host-ports apply successful
   k8spspprivilegedcontainer.constraints.gatekeeper.sh/pss-baseline-v2022-privileged-containers apply successful
   k8spspprocmount.constraints.gatekeeper.sh/pss-baseline-v2022-proc-mount-type apply successful
   k8spspselinuxv2.constraints.gatekeeper.sh/pss-baseline-v2022-selinux apply successful
   k8spspseccomp.constraints.gatekeeper.sh/pss-baseline-v2022-seccomp apply successful
   apply phase finished
   inventory update started
   inventory update finished
   apply result: 10 attempted, 10 successful, 0 skipped, 0 failed
   

7. Config Sync の同期ディレクトリで Kustomize を使用している場合は、ルート kustomization.yaml に policies/pss-baseline-v2022 を追加します。それ以外の場合は、policies/pss-baseline-v2022/kustomization.yaml ファイルを削除します。

   rm SYNC_ROOT_DIR/policies/pss-baseline-v2022/kustomization.yaml
   

8. 変更を Config Sync リポジトリに push します。

   git add SYNC_ROOT_DIR/pss-baseline-v2022
   git commit -m 'Adding Pod Security Standards Baseline audit enforcement'
   git push
   

9. インストールのステータスを確認します。

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   ステータスが SYNCED の場合、ポリシーがインストールされています。

ポリシー違反を確認する

ポリシーの制約が監査モードでインストールされると、UI の Policy Controller ダッシュボードにクラスタに対する違反を表示できます。

また、次のコマンドを実行すると、kubectl を使用してクラスタに対する違反を表示できます。

kubectl get constraint -l policycontroller.gke.io/bundleName=pss-baseline-v2022 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

違反がある場合は、次のコマンドを実行すると、制約ごとに違反メッセージのリストが表示されます。

kubectl get constraint -l policycontroller.gke.io/bundleName=pss-baseline-v2022 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Pod Security Standards Baseline ポリシー バンドルの違反措置を変更する

クラスタのポリシー違反を確認したら、アドミッション コントローラが warn または deny のいずれかでクラスタへの非遵守リソースの適用をブロックするように、強制適用モードを変更することを検討できます。

警告: deny 適用アクションは、必要な変更がブロックされ、重要なワークロードやクラスタの中断につながる可能性があるため、慎重に行う必要があります。新しい制約をテストする場合や、プラットフォームのアップグレードなどの移行を行う場合は、本番環境ワークロードのあるクラスタで warn または dryrun 適用アクションのみを使用することを強くおすすめします。適用アクションの詳細については、制約を使用した監査をご覧ください。

kubectl

1. kubectl を使用して、ポリシーの適用アクションを warn に設定します。

   kubectl get constraint -l policycontroller.gke.io/bundleName=pss-baseline-v2022 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. ポリシー制約の適用アクションが更新されていることを確認します。

   kubectl get constraint -l policycontroller.gke.io/bundleName=pss-baseline-v2022
   

kpt

1. set-enforcement-action kpt 関数を実行して、ポリシーの違反に対する措置を warn に設定します。

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. ポリシー制約を適用します。

   kpt live apply
   

Config Sync

Config Sync を使用してクラスタにクラスタをデプロイするオペレータは、次の操作を行うことができます。

1. Config Sync の同期ディレクトリに移動します。

   cd SYNC_ROOT_DIR
   

2. set-enforcement-action kpt 関数を実行して、ポリシーの違反に対する措置を warn に設定します。

   kpt fn eval policies/pss-baseline-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. 変更を Config Sync リポジトリに push します。

   git add SYNC_ROOT_DIR/policies/pss-baseline-v2022
   git commit -m 'Adding Pod Security Standards Baseline policy bundle warn enforcement'
   git push
   

4. インストールのステータスを確認します。

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   SYNCED 列に表示されたリポジトリには、ポリシーがインストールされています。

ポリシーの適用をテストする

次のコマンドを使用して、クラスタに非遵守リソースを作成します。

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        hostPort: 80
        name: wordpress
EOF

次の例のように、アドミッション コントローラにより、このリソースが違反しているポリシー違反の警告の一覧が生成されるはずです。

Warning:  [pss-baseline-v2022-host-ports] The specified hostNetwork and hostPort are not allowed, pod: wp-non-compliant. Allowed values: {"max": 0, "min": 0}
pod/wp-non-compliant created

Pod Security Standards Baseline ポリシー バンドルを削除する

必要に応じて、Pod Security Standards Baseline ポリシー バンドルをクラスタから削除できます。

kubectl

• kubectl を使用してポリシーを削除します。

  kubectl delete constraint -l policycontroller.gke.io/bundleName=pss-baseline-v2022
  

kpt

• ポリシーを削除します。

  kpt live destroy
  

Config Sync

Config Sync を使用してクラスタにクラスタをデプロイするオペレータは、次の操作を行うことができます。

1. 変更を Config Sync リポジトリに push します。

   git rm -r SYNC_ROOT_DIR/policies/pss-baseline-v2022
   git commit -m 'Removing Pod Security Standards Baseline policies'
   git push
   

2. ステータスを確認します。

   gcloud alpha anthos config sync repo list --project PROJECT_ID
   

   SYNCED 列に表示されたリポジトリで、ポリシーが削除されていることを確認します。