Anwendung in GKE bereitstellen und Sicherheitsinformationen ansehen

Anwendung in GKE bereitstellen und Sicherheitsinformationen ansehen

Hier erfahren Sie, wie Sie einen gewollt anfälligen Container in einem GKE-Cluster bereitstellen und Sicherheitsinformationen zu den Sicherheitslücken im Dashboard für den Sicherheitsstatus abrufen. Das GKE-Dashboard für den Sicherheitsstatus zeigt Informationen zu bekannten Sicherheitslücken des Betriebssystems an. Informationen zum Scannen von Sprachen auf Sicherheitslücken in Go- oder Java-Paketen finden Sie unter Anwendung erstellen und Sicherheitsinformationen ansehen.

Lernziele

• Containeranwendung mit Cloud Build erstellen und per Push in Artifact Registry übertragen.
• Erstellen Sie eine Bereitstellungspipeline in Cloud Deploy.
• Stellen Sie die Anwendung in einem Staging-GKE-Cluster bereit und stufen Sie sie in einen Produktionscluster hoch.
• Sehen Sie sich im Dashboard für den Sicherheitsstatus in der Google Cloud Console Informationen zu Sicherheitslücken in der bereitgestellten Anwendung an.

Hinweise

1. Melden Sie sich bei Ihrem Google Cloud-Konto an. Wenn Sie mit Google Cloud noch nicht vertraut sind, erstellen Sie ein Konto, um die Leistungsfähigkeit unserer Produkte in der Praxis sehen und bewerten zu können. Neukunden erhalten außerdem ein Guthaben von 300 $, um Arbeitslasten auszuführen, zu testen und bereitzustellen.
2. Installieren Sie die Google Cloud CLI.

3. Führen Sie folgenden Befehl aus, um die gcloud CLI zu initialisieren:

   gcloud init

4. Google Cloud-Projekt erstellen oder auswählen.

   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit dem Projekt verknüpften Ressourcen entfernen.

   • Erstellen Sie ein Google Cloud-Projekt:

     gcloud projects create PROJECT_ID

   • Wählen Sie das von Ihnen erstellte Google Cloud-Projekt aus:

     gcloud config set project PROJECT_ID

5. Die Abrechnung für das Google Cloud-Projekt muss aktiviert sein.

6. Aktivieren Sie die Artifact Registry, Cloud Build, Cloud Deploy, Google Kubernetes Engine, Container Security, and Container Analysis APIs:

   gcloud services enable artifactregistry.googleapis.com cloudbuild.googleapis.com clouddeploy.googleapis.com container.googleapis.com containersecurity.googleapis.com  containeranalysis.googleapis.com

7. Installieren Sie die Google Cloud CLI.

8. Führen Sie folgenden Befehl aus, um die gcloud CLI zu initialisieren:

   gcloud init

9. Google Cloud-Projekt erstellen oder auswählen.

   Hinweis: Wenn Sie die Ressourcen, die Sie in diesem Verfahren erstellen, nicht behalten möchten, erstellen Sie ein Projekt, anstatt ein vorhandenes Projekt auszuwählen. Wenn Sie fertig sind, können Sie das Projekt löschen und dadurch alle mit dem Projekt verknüpften Ressourcen entfernen.

   • Erstellen Sie ein Google Cloud-Projekt:

     gcloud projects create PROJECT_ID

   • Wählen Sie das von Ihnen erstellte Google Cloud-Projekt aus:

     gcloud config set project PROJECT_ID

10. Die Abrechnung für das Google Cloud-Projekt muss aktiviert sein.

11. Aktivieren Sie die Artifact Registry, Cloud Build, Cloud Deploy, Google Kubernetes Engine, Container Security, and Container Analysis APIs:

    gcloud services enable artifactregistry.googleapis.com cloudbuild.googleapis.com clouddeploy.googleapis.com container.googleapis.com containersecurity.googleapis.com  containeranalysis.googleapis.com

Nach Abschluss der in diesem Dokument beschriebenen Aufgaben können Sie weitere Kosten vermeiden, indem Sie die erstellten Ressourcen löschen. Weitere Informationen finden Sie unter Bereinigen.

Umgebung vorbereiten

1. Legen Sie Ihre Projekt-ID als Umgebungsvariable fest:

   export PROJECT_ID=$(gcloud config get project)
   

2. Legen Sie die Google Cloud-Standardregion für Cloud Deploy fest:

   gcloud config set deploy/region us-central1
   

3. Klonen Sie das GitHub-Repository, das den Beispielcode für diese Aufgabe enthält:

   git clone https://github.com/googlecloudplatform/software-delivery-shield-demo-java.git
   cd ~/software-delivery-shield-demo-java/backend
   

4. IAM-Dienstkonto für GKE erstellen

   zu verwendende Cluster:

   gcloud iam service-accounts create sds-runtime \
       --display-name="SDS with GKE service account"
   

5. Gewähren Sie dem IAM-Dienstkonto Berechtigungen:

   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com \
       --role="roles/container.nodeServiceAccount"
   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com \
       --role="roles/clouddeploy.jobRunner"
   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com \
       --role="roles/container.developer"
   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com \
       --role="roles/artifactregistry.reader"
   

6. Gewähren Sie dem Compute Engine-Standarddienstkonto Zugriff auf GKE-Cluster. Cloud Deploy verwendet diesen Zugriff, um Anwendungen in den Clustern Ihrer Bereitstellungspipeline bereitzustellen.

   PROJECT_NUMBER="$(gcloud projects describe ${PROJECT_ID} --format='get(projectNumber)')"
   gcloud projects add-iam-policy-binding ${PROJECT_NUMBER} \
       --member=serviceAccount:${PROJECT_NUMBER}[e-mail] \
       --role=roles/container.developer
   

Artifact Registry-Repository für Ihr Image erstellen

1. Im Folgenden wird gezeigt, wie Sie das Repository anlegen.

   gcloud artifacts repositories create containers \
       --repository-format=docker \
       --location=us-central1 \
       --description="SDS with GKE repository"
   

2. Prüfen Sie, ob das Repository vorhanden ist:

   gcloud artifacts repositories list \
       --location=us-central1 \
       --filter="REPOSITORY:containers"
   

   In der Ausgabe wird das von Ihnen erstellte Repository containers angezeigt.

GKE-Cluster erstellen

Erstellen Sie zwei GKE-Cluster, einen Staging-Cluster namens dev-cluster und einen Produktionscluster namens prod-cluster. In Autopilot wird das Scannen von Arbeitslasten auf Sicherheitslücken für neue Cluster mit Version 1.27 und höher automatisch aktiviert. Wenn Sie einen Standardcluster verwenden, geben Sie das Flag --workload-vulnerability-scanning=standard an.

gcloud container clusters create-auto dev-cluster \
    --region=us-central1 \
    --release-channel=rapid \
    --service-account=sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com
gcloud container clusters create-auto prod-cluster \
    --region=us-central1 \
    --release-channel=rapid \
    --service-account=sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com

Die Clustererstellung kann bis zu fünf Minuten dauern. Sie können das Scannen von Arbeitslasten auf Sicherheitslücken auch durch Aktualisieren vorhandener GKE-Cluster aktivieren.

Image erstellen

Erstellen Sie das Image und reichen Sie es mit Cloud Build ein:

gcloud builds submit --region us-central1 --config cloudbuild.yaml

Wenn der Build abgeschlossen ist, sieht die Ausgabe in etwa so aus:

DONE
-----------------------------------------------------------------------------
ID: 3e23094f-7f57-4449-bc68-51c37hn34d03
CREATE_TIME: 2022-09-19T15:41:07+00:00
DURATION: 54S
SOURCE: gs://my-project_cloudbuild/source/1663602066.777581-6ebe4b2d6fd741ffa18936d7f.tgz
IMAGES: us-central1-docker.pkg.dev/PROJECT_ID/containers/java-guestbook-backend:quickstart
STATUS: SUCCESS

Image mit Cloud Deploy in GKE bereitstellen

1. Aktualisieren Sie die Cloud Deploy-Konfigurationsdatei mit Ihrer Projekt-ID:

   sed -i "s/PROJECT_ID/${PROJECT_ID}/g" clouddeploy.yaml
   

2. Registrieren Sie die Pipeline und Ziele:

   gcloud deploy apply --file=clouddeploy.yaml
   

3. Rufen Sie in der Google Cloud Console die Seite Bereitstellungspipelines auf, um zu prüfen, ob die Pipeline vorhanden ist:

   Zu Bereitstellungspipelines

   In der Liste der Pipelines wird Ihre neue Pipeline guestbook-app-delivery angezeigt.

4. Klicken Sie auf den Namen der Pipeline, um den Fortschritt zu überwachen. Die Seite Details der Bereitstellungspipeline wird geöffnet.

5. Erstellen Sie einen neuen Release in Cloud Deploy:

   gcloud deploy releases create guestbook-release-001 \
       --delivery-pipeline=guestbook-app-delivery \
       --images=java-guestbook-backend=us-central1-docker.pkg.dev/${PROJECT_ID}/containers/java-guestbook-backend:quickstart
   

   Der neue Release wird im Abschnitt Releases auf der Seite Details zur Bereitstellungspipeline angezeigt.

6. Überwachen Sie auf der Seite Details der Bereitstellungspipeline die Ansicht Pipelinevisualisierung, bis die Schaltfläche Hochstufen für dev-cluster angezeigt wird. Möglicherweise müssen Sie die Seite aktualisieren.

7. Klicken Sie in der Visualisierung dev-cluster auf Hochstufen.

8. Klicken Sie im Bereich Release hochstufen auf Hochstufen, um die Hochstufung zu Ihrem Produktionscluster zu bestätigen.

9. Im Abschnitt Releases können Sie prüfen, ob Ihr Release erfolgreich war. In der Spalte Status des letzten Roll-outs wird Successfully deployed to prod-cluster angezeigt.

Sicherheitslücken ansehen

In diesem Abschnitt erhalten Sie über das Dashboard für den Sicherheitsstatus Informationen zu Sicherheitslücken des Betriebssystems. Im Dashboard werden nach der Bereitstellung in den Clustern Informationen zu Sicherheitslücken in den ausgeführten Arbeitslasten angezeigt.

1. Rufen Sie in der Google Cloud Console die Seite Sicherheitsstatus auf.

   Zum Sicherheitsstatus

2. Aktualisieren Sie die Seite, um die Scanergebnisse anzusehen. Der erste Scan kann bis zu 15 Minuten dauern.

3. Prüfen Sie auf der Seite Sicherheitsstatus den Abschnitt Sicherheitslücke des Arbeitslastbetriebssystems. In diesem Abschnitt werden die häufigsten CVEs aufgeführt, die Ihre bereitgestellte Arbeitslast betreffen.

4. Weitere Informationen finden Sie unter Alle Bedenken hinsichtlich Sicherheitslücken ansehen. Der Tab Bedenken wird geöffnet und es wird ein Filter für den Problemtyp Sicherheitslücke angewendet. Die Tabelle enthält eine Übersicht über jede Sicherheitslücke und ihre Auswirkungen.

5. Wenn Sie Details zu einer bestimmten Sicherheitslücke sehen möchten, klicken Sie in der Tabelle auf den Namen des Problems. Der Bereich Sicherheitslücken wird geöffnet. In diesem Bereich haben Sie folgende Möglichkeiten:

   • Lesen Sie eine detaillierte Beschreibung des CVEs, einschließlich der betroffenen Versionen, Pakete und des CVSS-Werts.
   • Sehen Sie sich empfohlene Maßnahmen an, um das Problem zu beheben, z. B. Informationen zur Dokumentation und zur Patchversion.
   • Sehen Sie sich auf dem Tab Betroffene Arbeitslasten die einzelnen Arbeitslasten an, die von der Sicherheitslücke betroffen sind.

Bereinigen

Löschen Sie das Google Cloud-Projekt mit den Ressourcen, damit Ihrem Google Cloud-Konto die auf dieser Seite verwendeten Ressourcen nicht in Rechnung gestellt werden.

Einzelne Ressourcen löschen

1. Löschen Sie die Cloud Deploy-Pipeline:

   gcloud deploy delivery-pipelines delete guestbook-app-delivery --force
   

2. Löschen Sie die GKE-Cluster:

   gcloud container clusters delete dev-cluster \
       --region=us-central1
   gcloud container clusters delete prod-cluster \
       --region=us-central1
   

3. Löschen Sie das Artifact Registry-Repository:

   gcloud artifacts repositories delete containers \
       --location=us-central1
   

4. Löschen Sie das IAM-Dienstkonto:

   gcloud iam service-accounts delete sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com
   

Projekt löschen

Achtung: Das Löschen von Projekten hat folgende Auswirkungen:
• Alle Inhalte des Projekts werden gelöscht. Wenn Sie für die Aufgaben in diesem Dokument ein bereits bestehendes Projekt verwendet haben und dieses löschen, werden auch alle anderen im Rahmen des Projekts erstellten Daten gelöscht.
• Benutzerdefinierte Projekt-IDs gehen verloren. Beim Erstellen dieses Projekts haben Sie möglicherweise eine benutzerdefinierte Projekt-ID erstellt, die Sie weiterhin verwenden möchten. Damit die URLs, die die Projekt-ID nutzen, z. B. eine appspot.com-URL, erhalten bleiben, sollten Sie ausgewählte Ressourcen innerhalb des Projekts löschen, statt das gesamte Projekt.
1. Wechseln Sie in der Google Cloud Console zur Seite Ressourcen verwalten.

   Zur Seite „Ressourcen verwalten“

2. Wählen Sie in der Projektliste das Projekt aus, das Sie löschen möchten, und klicken Sie dann auf Löschen.
3. Geben Sie im Dialogfeld die Projekt-ID ein und klicken Sie auf Shut down (Beenden), um das Projekt zu löschen.

Nächste Schritte

• Anfällige Anwendung in Cloud Run bereitstellen und Statistiken ansehen
• Anwendung erstellen und Sicherheitsinformationen ansehen
• Weitere Informationen zur Sicherheit der Softwarelieferkette
• Weitere Informationen zu den Funktionen des Dashboards für den GKE-Sicherheitsstatus