Présentation de la sécurité dans Cloud Service Mesh

La sécurité de Cloud Service Mesh avec les API Istio vous aide à limiter les menaces internes et à réduire le risque de violation des données en garantissant que toutes les communications entre les charges de travail sont chiffrées, authentifiées mutuellement et autorisées.

Traditionnellement, la microsegmentation utilisant des règles basées sur l'adresse IP permet d'atténuer les risques internes. Toutefois, l'adoption de conteneurs, de services partagés et d'environnements de production distribués répartis sur plusieurs clouds rend cette approche plus difficile à configurer et même plus difficile à gérer.

Avec Cloud Service Mesh, vous pouvez configurer une couche de service contextuel et demander une sécurité réseau contextuelle indépendante de la sécurité du réseau sous-jacent. Pour cette raison, Cloud Service Mesh vous permet d'adopter une stratégie de défense en profondeur conforme aux principes de sécurité zéro confiance. Il vous permet d'atteindre cette position à l'aide de stratégies déclaratives et sans modifier le code d'application.

TLS mutuel

Cloud Service Mesh utilise l'authentification TLS mutuelle (mTLS) pour l'authentification des pairs. L'authentification fait référence à l'identité: qui est ce service, qui est cet utilisateur final ? Et puis-je avoir l'assurance que l'utilisateur est bien celui qu'il prétend être ?

mTLS permet aux charges de travail de valider leurs identités et de s'authentifier entre elles. Vous connaissez peut-être déjà le protocole TLS simple utilisé dans HTTPS pour permettre aux navigateurs d'approuver des serveurs Web et de chiffrer les données échangées. Lorsque le protocole TLS simple est utilisé, le client établit que le serveur est digne de confiance en validant son certificat. mTLS est une mise en œuvre de TLS dans laquelle le client et le serveur se présentent des certificats et vérifient leurs identités respectives.

mTLS est le moyen par lequel Cloud Service Mesh met en œuvre l'authentification et le chiffrement entre les services.

Dans Cloud Service Mesh, l'authentification mTLS automatique est activée par défaut. Avec l'authentification mTLS, un proxy side-car client détecte automatiquement si le serveur possède un side-car. Le side-car client envoie le mTLS aux charges de travail avec des side-cars et envoie du texte brut aux charges de travail sans side-car. Notez toutefois que les services acceptent à la fois le trafic en texte brut et le trafic mTLS. Pour sécuriser votre maillage de services, nous vous recommandons de migrer vos services pour n'accepter que le trafic mTLS.

Pour en savoir plus sur l'application exclusive de mTLS, consultez la section Cloud Service Mesh, par exemple: mTLS.

Avantages de sécurité

Cloud Service Mesh offre les avantages de sécurité suivants:

  • Atténue le risque de nouvelle lecture ou d'usurpation d'identité qui utilisent des identifiants volés. Cloud Service Mesh s'appuie sur des certificats mTLS pour authentifier les pairs, plutôt que sur des jetons de support tels que les jetons Web JSON (JWT). Étant donné que les certificats mTLS sont liés au canal TLS, une entité de votre environnement de production ne peut pas usurper l'identité d'une autre en rejoignant le jeton d'authentification sans accès aux clés privées.

  • Assure le chiffrement en transit. L'utilisation de mTLS pour l'authentification garantit également que toutes les communications TCP sont chiffrées en transit.

  • Garantit que seuls les clients autorisés peuvent accéder à un service contenant des données sensibles. Seuls les clients autorisés peuvent accéder à un service contenant des données sensibles, indépendamment de l'emplacement réseau du client et des identifiants au niveau de l'application. Vous pouvez spécifier que seuls les clients disposant d'identités de service autorisés ou dans les espaces de noms Kubernetes autorisés peuvent accéder à un service. Vous pouvez également utiliser des stratégies d'accès basées sur l'adresse IP pour accorder l'accès à des clients déployés en dehors des clients en dehors du maillage.

  • Atténue le risque de violation des données utilisateur sur votre réseau de production. Vous pouvez vous assurer que les initiés ne peuvent accéder aux données sensibles que via des clients autorisés. De plus, vous pouvez faire en sorte que certains clients ne puissent accéder aux informations sur l'utilisateur que s'ils peuvent présenter un jeton utilisateur valide et de courte durée. Cela réduit le risque que la compromission d'un seul identifiant client permette à un pirate informatique d'accéder à toutes les données utilisateur.

  • Identifie les clients ayant accédé à un service avec des données sensibles. La journalisation des accès à Cloud Service Mesh capture l'identité mTLS du client en plus de l'adresse IP. Ainsi, vous pouvez comprendre quelle charge de travail a accédé à un service même si elle est éphémère et déployée de manière dynamique, et se trouve dans un autre cluster ou réseau de cloud privé virtuel (VPC).

Fonctionnalités

Cette section décrit les fonctionnalités fournies par Cloud Service Mesh pour tirer parti de ses avantages en termes de sécurité.

Certificat automatique et rotation des clés

L'utilisation de mTLS basée sur les identités de service permet de chiffrer toutes les communications TCP et fournit des identifiants plus sécurisés et ne pouvant être relus pour le contrôle des accès. L'un des principaux défis de l'utilisation de mTLS à grande échelle est la gestion des clés et des certificats pour toutes les charges de travail cibles. Cloud Service Mesh se charge de la rotation des clés et des certificats mTLS pour les charges de travail de maillage sans interrompre les communications. Vous pouvez configurer des intervalles d'actualisation des certificats plus petits pour réduire les risques.

Autorité de certification Cloud Service Mesh

Cloud Service Mesh inclut une autorité de certification privée multirégionale gérée, l'autorité de certification Cloud Service Mesh, qui permet d'émettre des certificats pour mTLS. L'autorité de certification Cloud Service Mesh est un service hautement fiable et évolutif, optimisé pour les charges de travail à scaling dynamique sur une plate-forme cloud. Avec l'autorité de certification Cloud Service Mesh, Google gère la sécurité et la disponibilité du backend de l'autorité de certification. L'autorité de certification Cloud Service Mesh vous permet de vous appuyer sur une seule racine de confiance sur l'ensemble des clusters. Lorsque vous utilisez l'autorité de certification Cloud Service Mesh, vous pouvez vous appuyer sur des pools d'identités de charge de travail pour fournir une isolation sommaire. Par défaut, l'authentification échoue si le client et le serveur ne font pas partie du même pool d'identités de charge de travail.

Les certificats de l'autorité de certification Cloud Service Mesh incluent les données suivantes sur les services de votre application:

  • L'ID de projet Google Cloud
  • L'espace de noms GKE
  • Le nom du compte de service GKE

Certificate Authority Service

Au lieu de l'autorité de certification de Cloud Service Mesh, vous pouvez configurer Cloud Service Mesh pour utiliser Certificate Authority Service, qui convient aux cas d'utilisation suivants:

  • Vous avez besoin de plusieurs autorités de certification différentes pour signer des certificats de charge de travail sur différents clusters.
  • Vous devez sauvegarder vos clés de signature dans un HSM géré.
  • Vous travaillez dans un secteur hautement réglementé et vous êtes soumis à des exigences de conformité.
  • Si vous souhaitez associer votre autorité de certification Cloud Service Mesh à un certificat racine d'entreprise personnalisé pour signer les certificats de charge de travail.

Le coût de l'autorité de certification de Cloud Service Mesh est inclus dans les tarifs de Cloud Service Mesh. Le coût de CA Service n'est pas inclus dans le tarif de base de Cloud Service Mesh et est facturé séparément. En outre, CA Service est fourni avec un contrat de niveau de service explicite, ce qui n'est pas le cas de l'autorité de certification de Cloud Service Mesh.

Pour cette intégration, toutes les charges de travail dans Cloud Service Mesh se voient attribuer deux rôles IAM:

Stratégies de contrôle de l'accès selon l'identité (pare-feu)

Avec Cloud Service Mesh, vous pouvez configurer des règles de sécurité réseau basées sur l'identité mTLS par rapport à l'adresse IP du pair. Cela vous permet de créer des règles indépendantes de l'emplacement réseau de la charge de travail. Seules les communications entre les clusters d'un même projet Google Cloud sont acceptées.

Demander des stratégies de contrôle d'accès compatibles avec les revendications (pare-feu)

En plus de l'identité mTLS, vous pouvez accorder un accès basé sur les revendications de requête dans l'en-tête JWT des requêtes HTTP ou gRPC. Cloud Service Mesh vous permet de confirmer qu'un jeton JWT est signé par une entité de confiance. Cela signifie que vous pouvez configurer des stratégies qui n'autorisent l'accès à partir de certains clients que si une revendication de requête existe ou correspond à une valeur spécifiée.

Authentification des utilisateurs avec Identity-Aware Proxy

Vous authentifiez les utilisateurs qui accèdent à un service exposé sur une passerelle d'entrée Cloud Service Mesh à l'aide d'Identity-Aware Proxy (IAP). IAP peut authentifier les utilisateurs qui se connectent à partir d'un navigateur, intégrer des fournisseurs d'identité personnalisés et émettre un jeton JWT de courte durée ou un jeton RCToken qui peut ensuite être utilisé pour accorder l'accès à la passerelle d&#Ingress;entrée ou à un service en aval (à l'aide d'un side-car). Pour en savoir plus, consultez la page Intégrer IAP à Cloud Service Mesh.

Authentification des utilisateurs avec votre fournisseur d'identité existant

Vous pouvez intégrer votre fournisseur d'identité existant à Cloud Service Mesh pour fournir l'authentification de l'utilisateur final basée sur le navigateur et le contrôle des accès à vos charges de travail déployées. Pour en savoir plus, consultez la page Configurer l'authentification des utilisateurs dans Cloud Service Mesh.

Journalisation et surveillance des accès

Cloud Service Mesh garantit que les journaux et les métriques d'accès sont disponibles dans Google Cloud Observability, et fournit un tableau de bord intégré pour comprendre les modèles d'accès à un service ou à une charge de travail basés sur ces données.

Conformité avec la norme FIPS

Le composant de plan de données utilise des modules de chiffrement validés FIPS 140-2.

Limites

La sécurité de Cloud Service Mesh présente les limites suivantes:

  • L'authentification de l'utilisateur qui utilise IAP nécessite la publication d'un service sur Internet. IAP et Cloud Service Mesh vous permettent de configurer des règles pouvant restreindre l'accès aux utilisateurs et aux clients autorisés dans une plage d'adresses IP autorisée. Si vous choisissez de n'exposer le service qu'aux clients du même réseau, vous devez configurer un moteur de règles personnalisé pour l'authentification des utilisateurs et l'émission de jetons.

Étapes suivantes