Menggunakan batasan kebijakan Standar Keamanan Pod Terbatas

Pengontrol Kebijakan dilengkapi dengan library default template batasan yang dapat Anda gunakan dengan paket Terbatas Standar Keamanan Pod. Paket ini memungkinkan Anda mendapatkan banyak perlindungan yang sama seperti kebijakan Terbatas Standar Keamanan Pod (PSS) Kubernetes, dengan kemampuan untuk menguji kebijakan sebelum menerapkannya dan mengecualikan cakupan sumber daya tertentu.

Halaman ini berisi petunjuk untuk menerapkan paket kebijakan secara manual. Atau, Anda dapat menerapkan paket kebijakan secara langsung.

Peringatan: Setelah Anda memilih metode untuk menerapkan paket kebijakan (manual, gcloud CLI, atau Google Cloud konsol), penggunaan metode lain untuk menginstal paket kebijakan dapat menyebabkan error di lingkungan Anda.

Halaman ini ditujukan bagi administrator dan Operator IT yang ingin memastikan bahwa semua resource yang berjalan dalam platform cloud memenuhi persyaratan kepatuhan organisasi dengan menyediakan dan mempertahankan otomatisasi untuk mengaudit atau menerapkan. Untuk mempelajari lebih lanjut peran umum dan contoh tugas yang kami referensikan dalam konten, lihat Peran dan tugas pengguna GKE umum. Google Cloud

Paket ini mencakup batasan yang dipetakan ke kontrol kebijakan Terbatas Standar Keamanan Pod (PSS) Kubernetes berikut:

Nama Batasan	Deskripsi Batasan	Nama Kontrol
pss-restricted-v2022-psp-volume-types	Penggunaan jenis volume	Jenis Volume
pss-restricted-v2022-privilege-escalation	Membatasi eskalasi ke hak istimewa root	Eskalasi Akses
pss-restricted-v2022-running-as-non-root	Nilai runAsNonRoot penampung	Menjalankan sebagai Non-root
pss-restricted-v2022-running-as-non-root-user	ID pengguna penampung	Menjalankan sebagai pengguna Non-root
pss-restricted-v2022-seccomp	Profil seccomp yang digunakan oleh container	Seccomp
pss-restricted-v2022-capabilities	Kemampuan Linux	Kemampuan

Sebelum memulai

Penting: Profil Terbatas Standar Keamanan Pod dibuat berdasarkan dan mencakup semua kontrol profil Dasar Pengukuran Standar Keamanan Pod. Instal bundle PSS-Baseline sebelum menggunakan bundle PSS-Restricted.

1. Instal dan lakukan inisialisasi Google Cloud CLI, yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah terinstal sebelumnya.
2. Instal Pengontrol Kebijakan v1.11.1 atau yang lebih tinggi di cluster Anda dengan library template batasan default.

Mengaudit paket kebijakan Terbatas Standar Keamanan Pod

Dengan Pengontrol Kebijakan, Anda dapat menerapkan kebijakan untuk cluster Kubernetes Anda. Untuk membantu menguji workload dan kepatuhannya terhadap praktik terbaik yang direkomendasikan Google yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkapkan pelanggaran dan yang lebih penting memberi Anda kesempatan untuk memperbaikinya sebelum diterapkan di cluster Kubernetes Anda.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction ditetapkan ke dryrun menggunakan kubectl, kpt, atau Config Sync.

kubectl

1. (Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

   kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pss-restricted-v2022
   

2. Terapkan batasan kebijakan dengan kubectl:

   kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pss-restricted-v2022
   

   Outputnya adalah sebagai berikut:

   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/pss-restricted-v2022-privilege-escalation created
   k8spspallowedusers.constraints.gatekeeper.sh/pss-restricted-v2022-running-as-non-root created
   k8spspcapabilities.constraints.gatekeeper.sh/pss-restricted-v2022-capabilities created
   k8spspseccomp.constraints.gatekeeper.sh/pss-restricted-v2022-seccomp created
   k8spspvolumetypes.constraints.gatekeeper.sh/pss-restricted-v2022-psp-volume-types created
   

3. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

   kubectl get -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pss-restricted-v2022
   

   Outputnya mirip dengan hal berikut ini:

   NAME                                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/pss-restricted-v2022-privilege-escalation   dryrun               0
   
   NAME                                                                                    ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspallowedusers.constraints.gatekeeper.sh/pss-restricted-v2022-running-as-non-root   dryrun               0
   
   NAME                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspcapabilities.constraints.gatekeeper.sh/pss-restricted-v2022-capabilities   dryrun               0
   
   NAME                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspseccomp.constraints.gatekeeper.sh/pss-restricted-v2022-seccomp   dryrun               0
   
   NAME                                                                                ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
   k8spspvolumetypes.constraints.gatekeeper.sh/pss-restricted-v2022-psp-volume-types   dryrun               0
   

kpt

1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

2. Download paket kebijakan Standar Keamanan Pod (PSS) Terbatas v2022 dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pss-restricted-v2022
   

3. Jalankan fungsi KPT set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

   kpt fn eval pss-restricted-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
     -- enforcementAction=dryrun
   

4. Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:

   cd pss-restricted-v2022
   kpt live init
   

5. Terapkan batasan kebijakan dengan kpt:

   kpt live apply
   

6. Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

   kpt live status --output table --poll-until current
   

   Status CURRENT mengonfirmasi keberhasilan penginstalan batasan.

Config Sync

1. Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

   Catatan: Kpt v1.0.0-beta.17 dan yang lebih baru otomatis membuat file resourcegroup.yaml selama live init yang tidak boleh diperiksa ke dalam repositori Config Sync Anda. Jika belum ada, tambahkan resourcegroup.yaml ke file .gitignore repo Anda.

   Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml:

   echo resourcegroup.yaml >> .gitignore
   

2. Buat direktori policies khusus:

   mkdir -p policies
   

3. Download paket kebijakan Standar Keamanan Pod (PSS) Terbatas v2022 dari GitHub menggunakan kpt:

   kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pss-restricted-v2022 policies/pss-restricted-v2022
   

4. Jalankan fungsi KPT set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

   kpt fn eval policies/pss-restricted-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
   

5. (Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

   kpt live init policies/pss-restricted-v2022
   kpt live apply --dry-run policies/pss-restricted-v2022
   

6. Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Kustomize, tambahkan policies/pss-baseline-v2022 ke kustomization.yaml root Anda. Jika tidak, hapus file policies/pss-baseline-v2022/kustomization.yaml:

   rm SYNC_ROOT_DIR/policies/pss-baseline-v2022/kustomization.yaml
   

7. Kirim perubahan ke repositori Config Sync:

   git add SYNC_ROOT_DIR/policies/pss-restricted-v2022
   git commit -m 'Adding Pod Security Standards Restricted audit enforcement'
   git push
   

8. Verifikasi status penginstalan:

   watch gcloud beta container fleet config-management status --project PROJECT_ID
   

   Status SYNCED mengonfirmasi penginstalan kebijakan.

Melihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Policy Controller.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran pada cluster menggunakan perintah berikut:

kubectl get constraint -l policycontroller.gke.io/bundleName=pss-restricted-v2022 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Jika ada pelanggaran, daftar pesan pelanggaran per batasan dapat dilihat dengan:

kubectl get constraint -l policycontroller.gke.io/bundleName=pss-restricted-v2022 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Mengubah tindakan penerapan paket kebijakan Terbatas Standar Keamanan Pod

Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan untuk mengubah mode penerapan sehingga Pengontrol Penerimaan akan warn diaktifkan atau bahkan deny memblokir penerapan resource yang tidak mematuhi kebijakan ke cluster.

Peringatan: Tindakan penegakan deny harus digunakan dengan hati-hati karena berpotensi memblokir perubahan yang diperlukan sehingga menyebabkan gangguan pada beban kerja atau cluster yang penting. Sebaiknya hanya tindakan penegakan warn atau dryrun yang digunakan pada cluster dengan beban kerja produksi, saat menguji batasan baru, atau melakukan migrasi seperti mengupgrade platform. Untuk mengetahui informasi selengkapnya tentang tindakan penegakan, lihat Mengaudit menggunakan batasan.

kubectl

1. Gunakan kubectl untuk menyetel tindakan penerapan kebijakan ke warn:

   kubectl get constraint -l policycontroller.gke.io/bundleName=pss-restricted-v2022 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
   

2. Pastikan tindakan penerapan batasan kebijakan telah diperbarui:

   kubectl get constraint -l policycontroller.gke.io/bundleName=pss-restricted-v2022
   

kpt

1. Jalankan fungsi KPT set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:

   kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

2. Terapkan batasan kebijakan:

   kpt live apply
   

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Ubah ke direktori sinkronisasi untuk Config Sync:

   cd SYNC_ROOT_DIR
   

2. Jalankan fungsi KPT set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:

   kpt fn eval policies/pss-restricted-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
   

3. Kirim perubahan ke repositori Config Sync:

   git add SYNC_ROOT_DIR/pss-restricted-v2022
   git commit -m 'Adding Pod Security Standards Restricted policy bundle warn enforcement'
   git push
   

4. Verifikasi status penginstalan:

   nomos status
   

   Cluster akan menampilkan status SYNCED dengan kebijakan yang diinstal.

Menguji penegakan kebijakan

Buat resource yang tidak sesuai di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        hostPort: 80
        name: wordpress
EOF

Pengontrol penerimaan harus menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilakukan oleh resource ini, seperti yang ditunjukkan dalam contoh berikut:

Warning: [pss-baseline-v2022-host-ports] The specified hostNetwork and hostPort are not allowed, pod: wp-non-compliant. Allowed values: {"max": 0, "min": 0}
pod/wp-non-compliant created

Menghapus paket kebijakan Terbatas Standar Keamanan Pod

Jika perlu, paket kebijakan Terbatas Standar Keamanan Pod dapat dihapus dari cluster.

kubectl

• Gunakan kubectl untuk menghapus kebijakan:

  kubectl delete constraint -l policycontroller.gke.io/bundleName=pss-restricted-v2022
  

kpt

• Hapus kebijakan:

  kpt live destroy
  

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

1. Kirim perubahan ke repositori Config Sync:

   git rm -r SYNC_ROOT_DIR/policies/pss-restricted-v2022
   git commit -m 'Removing Pod Security Standards Restricted policies'
   git push
   

2. Verifikasi status:

   nomos status
   

   Cluster akan menampilkan status SYNCED dengan resource yang dihapus.