Controlla i cluster per gli standard di conformità

Questa pagina mostra come verificare automaticamente la conformità dei cluster e ricevere consigli strategici per migliorare la conformità Cluster della versione Google Kubernetes Engine (GKE) Enterprise. Il controllo di conformità è una funzionalità Dashboard della conformità GKE. Per ulteriori informazioni, vedi Informazioni sulla dashboard di conformità GKE.

Standard di conformità supportati

Il controllo della conformità analizza i cluster per verificarne la conformità rispetto ai seguenti standard e fornisce suggerimenti per migliorare la tua postura di conformità:

Nome

Descrizione

Benchmark CIS Google Kubernetes Engine v1.5.0

Un insieme di controlli di sicurezza consigliati per la configurazione di Google Kubernetes Engine (GKE), in base alla versione CIS di Google Kubernetes Engine (GKE) Benchmarks v1.5.0.

Standard di sicurezza dei pod - Baseline

Un insieme di protezioni consigliate per i cluster Kubernetes, in base al criterio di riferimento degli standard di sicurezza dei pod di Kubernetes (PSS).

Standard di sicurezza dei pod - Restricted

Un insieme di protezioni consigliate per i cluster Kubernetes, in base al criterio con restrizioni degli standard di sicurezza dei pod di Kubernetes (PSS).

Prezzi

La dashboard di conformità GKE è disponibile per gli utenti che hanno abilitato GKE Enterprise

Prima di iniziare

Prima di iniziare, assicurati di aver eseguito le seguenti attività:

Requisiti

Per ottenere le autorizzazioni necessarie per utilizzare il controllo di conformità, chiedi all'amministratore di concederti i seguenti ruoli IAM sul tuo progetto Google Cloud:

Per saperne di più sulla concessione dei ruoli, consulta Gestire l'accesso.

Questi ruoli predefiniti le autorizzazioni necessarie per utilizzare il controllo di conformità. Per vedere le autorizzazioni esatte obbligatorie, espandi la sezione Autorizzazioni obbligatorie:

Autorizzazioni obbligatorie

Per utilizzare il controllo di conformità, sono necessarie le seguenti autorizzazioni:

  • resourcemanager.projects.get
  • resourcemanager.projects.list
  • containersecurity.locations.list
  • containersecurity.locations.get
  • containersecurity.clusterSummaries.list
  • containersecurity.findings.list
  • container.clusters.list
  • gkehub.features.get
  • gkehub.memberships.list

Potresti anche riuscire a ottenere queste autorizzazioni con ruoli personalizzati e altri ruoli predefiniti.

Controlla la conformità del cluster

Puoi abilitare il controllo di conformità sul cluster utilizzando il nella console Google Cloud.

Abilita il controllo di conformità su un cluster esistente

  1. Vai alla pagina Conformità nella console Google Cloud.

    Vai a Conformità

  2. Nella scheda Impostazioni, fai clic su Seleziona cluster.

  3. Nella scheda Controllo disabilitato, seleziona le caselle di controllo relative ai cluster che vuoi aggiungere.

  4. Fai clic su Abilita per abilitare il controllo sui cluster.

Testa il controllo di conformità

Eseguire il deployment di un pod di esempio che viola intenzionalmente gli standard di sicurezza dei pod.

  1. Salva il seguente manifest come noncompliant-sample.yaml:

    apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
  - image: nginx
    name: wordpress
    securityContext:
      capabilities:
        add:
        - NET_RAW

  2. Applica la risorsa al cluster:

    kubectl apply -f noncompliant-sample.yaml

Se vuoi provare altre violazioni, modifica noncompliant-sample.yaml con un diversa configurazione non conforme.

Visualizza e risolvi i problemi di conformità

La restituzione dei risultati del controllo iniziale può richiedere fino a 30 minuti. Puoi visualizzare i risultati nella pagina Conformità o sotto forma di voci nel log del cluster.

Visualizza risultati

Per vedere una panoramica dei problemi di conformità nei cluster del progetto, esegui la seguenti:

  1. Vai alla pagina Conformità nella console Google Cloud.

    Vai a Conformità

  2. Fai clic sulla scheda Problemi.

  3. Nel riquadro Filtra i problemi, nella sezione Standard, seleziona lo standard di cui vuoi ottenere i dettagli.

Visualizza dettagli e suggerimenti standard

Per visualizzare informazioni dettagliate su uno standard specifico, espandi la sezione standard finché non vedi il link alla descrizione, quindi fai clic su la descrizione standard per aprire il riquadro Vincolo di conformità.

La scheda Dettagli mostra le seguenti informazioni:

  • Descrizione: una descrizione dello standard.
  • Azione consigliata: una panoramica delle azioni che puoi intraprendere per risolvere il problema problema di conformità.

Nella scheda Risorse interessate sono elencate le risorse interessate dallo standard.

Visualizza i log per i problemi rilevati

Per rilevare problemi di conformità, puoi visualizzare una voce corrispondente in Logging.

  1. Vai a Esplora log nella console Google Cloud.

    Vai a Esplora log

  2. Nel campo Query specifica la seguente query:

    resource.type="k8s_cluster"
jsonPayload.@type="type.googleapis.com/cloud.kubernetes.security.containersecurity_logging.Finding"
jsonPayload.type="FINDING_TYPE_MISCONFIG"
jsonPayload.configuration.violation:*

  3. Fai clic su Esegui query.

Per ricevere notifiche quando GKE aggiunge nuovi risultati a Logging, configura avvisi basati su log per questa query. Per ulteriori informazioni le informazioni, vedi Configurare avvisi basati su log.

Esegui la pulizia

Elimina il pod di esempio di cui hai eseguito il deployment:

kubectl delete pod wp-non-compliant

Disattiva il controllo di conformità

Puoi disabilitare il controllo di conformità utilizzando la console Google Cloud.

  1. Vai alla pagina Conformità nella console Google Cloud.

    Vai a Conformità

  2. Nella scheda Impostazioni, fai clic su Seleziona cluster.

  3. Nella scheda Controllo abilitato, seleziona le caselle di controllo relative ai cluster da rimuovere.

  4. Fai clic su Disabilita per disabilitare il controllo sui cluster.

Limitazioni

  • I pool di nodi di Windows Server non sono supportati.
  • Il controllo di conformità non analizza le risorse gestite da GKE ad esempio quelli nello spazio dei nomi kube-system.
  • Il controllo della conformità è disponibile solo per i cluster con meno risorse più di 1000 nodi.

Passaggi successivi