本頁面由 Cloud Translation API 翻譯而成。

使用 PCI-DSS v3.2.1 政策限制

Policy Controller 隨附預設的限制範本庫，可以與 PCI-DSS v3.2.1 套裝組合搭配使用，評估叢集資源是否符合付款卡產業資料安全標準 (PCI-DSS) v3.2.1 的某些部分。

如果您是 IT 管理員和營運人員，想確保雲端平台中執行的所有資源都符合機構的法規遵循規定，請參閱本頁面，瞭解如何提供及維護自動化稽核或強制執行功能。如要進一步瞭解我們在內容中提及的常見角色和範例工作，請參閱「常見的 GKE Enterprise 使用者角色和工作」。 Google Cloud

PCI-DSS v3.2.1 政策套裝組合限制

限制名稱	限制說明	控制項 ID	設定檔
pci-dss-v3.2.1-resources-have-required-labels	確保防火牆符合規定，要求所有應用程式都包含指定標籤。	1.1.4	標準
pci-dss-v3.2.1-apps-must-have-certain-set-of-annotations	確保符合網路控制項目的規定，要求所有應用程式都包含指定註解。	1.1.5、2.4	標準
pci-dss-v3.2.1-require-default-deny-network-policies	要求叢集中定義的每個命名空間，針對輸出都必須預設為拒絕 `NetworkPolicy`。	1.2、1.3、2.2.2	延長
pci-dss-v3.2.1-block-all-ingress	限制建立 Ingress 物件。	1.2、1.3	延長
pci-dss-v3.2.1-require-valid-network-ranges	限制允許用於輸入和輸出的 CIDR 範圍。	1.2、1.3.2	延長
pci-dss-v3.2.1-require-namespace-network-policies	叢集中定義的每個命名空間都必須有 NetworkPolicy。	1.2	標準
pci-dss-v3.2.1-enforce-managed-by-configmanagement-label	`RoleBinding` 資源必須有有效的 `app.kubernetes.io/managed-by=` 標籤。	1.2.2、8.1.2	標準
pci-dss-v3.2.1-block-creation-with-default-serviceaccount	限制使用預設服務帳戶建立資源。	2.1	標準
pci-dss-v3.2.1-restrict-default-namespace	限制 Pod 使用預設命名空間。	2.1	標準
pci-dss-v3.2.1-asm-peer-authn-strict-mtls	強制執行所有 PeerAuthentication，不得覆寫嚴格的 mMTLS。	4.1	標準
pci-dss-v3.2.1-require-av-daemonset	需要有防毒軟體 DaemonSet。	5.1.1、5.3	標準
pci-dss-v3.2.1-enforce-config-management	強制執行 Config Sync 的存在和啟用狀態。	5.3、6.1、6.4	標準
pci-dss-v3.2.1-enforce-cloudarmor-backendconfig	對 `BackendConfig` 資源強制執行 Cloud Armor 設定。	6.5、6.6	標準
pci-dss-v3.2.1-restrict-rbac-subjects	限制 RBAC 主體只能使用允許的值。	8.1、8.1.5	延長
pci-dss-v3.2.1-block-secrets-of-type-basic-auth	限制使用 basic-auth 類型的 Secret。	8.1.5、8.2.3、8.5	標準
pci-dss-v3.2.1-nodes-have-consistent-time	確保使用 COS 做為 OS 映像檔，以確保節點上的時間一致且正確。	10.4.1、10.4.3	標準

標準與擴充套裝組合限制

PCI-DSS v3.2.1 套裝組合會實作一組有主觀意見的政策規定，以達成 PCI-DSS v3.2.1 控制措施的某些部分。除了修改工作負載以符合標準套件的需求外，您也可以選擇使用一組擴充限制，但必須為環境自訂這些限制。

事前準備

安裝並初始化 Google Cloud CLI，其中提供這些操作說明中使用的 gcloud 和 kubectl 指令。如果您使用 Cloud Shell，Google Cloud CLI 會預先安裝。
在叢集上安裝 Policy Controller 1.14.3 以上版本，並使用預設的限制範本庫。此外，您也必須啟用對參照限制條件的支援，因為這個套件含有參照限制條件。

設定 Policy Controller 的參照限制

將下列 YAML 資訊清單儲存為 policycontroller-config.yaml 檔案。資訊清單會設定 Policy Controller，監控特定種類的物件。

apiVersion: config.gatekeeper.sh/v1alpha1
kind: Config
metadata:
  name: config
  namespace: "gatekeeper-system"
spec:
  sync:
    syncOnly:
      - group: "apps"
        version: "v1"
        kind: "DaemonSet"
      - group: "networking.k8s.io"
        version: "v1"
        kind: "NetworkPolicy"

套用 policycontroller-config.yaml 資訊清單：

kubectl apply -f policycontroller-config.yaml

為 PCI-DSS v3.2.1 設定叢集的工作負載

標準組合

所有應用程式 (ReplicaSet、Deployment、StatefulSet 和 DaemonSet) 都必須包含 pci-dss-firewall-audit label，且結構定義為 pci-dss-[0-9]{4}q[1-4]。
所有應用程式 (ReplicaSet、Deployment、StatefulSet、DaemonSet) 都必須包含 network-controls/date 註解，並使用 YYYY-MM-DD 的架構。
叢集中定義的每個 namespace 都必須有 NetworkPolicy。
根據預設，configmanagement.gke.io 必須使用 Config Sync，但您可以在 pci-dss-v3.2.1-enforce-managed-by-configmanagement-label 限制中自訂允許的 app.kubernetes.io/managed-by 值。
無法使用預設服務帳戶建立資源。
預設 namespace 無法用於 Pod。
如果使用 Cloud Service Mesh，ASM PeerAuthentication 必須使用嚴格的 mTLS spec.mtls.mode: STRICT。
必須安裝防毒解決方案。預設值是 pci-dss-av namespace 中名為 clamav 的 daemonset，但 daemonset 的名稱和命名空間可透過 pci-dss-v3.2.1-require-av-daemonset 限制條件自訂，以符合您的實作項目。
必須啟用 Config Sync。
必須為 CloudArmor 設定所有 BackendConfig。
不得使用 basic-auth 類型 Secret。
所有節點都必須使用 Google Container-Optimized OS 做為映像檔，以確保時間一致。

加長型束帶 (選用，但必須自訂)

叢集中定義的每個 namespace 都有預設的拒絕 NetworkPolicy，允許的例外狀況可在 pci-dss-v3.2.1-require-namespace-network-policies 中指定。
只能建立允許的 Ingress 物件 (NodePort 和 LoadBalancer 的 Ingress、Gateway 和 Service 類型)，這些物件可在 pci-dss-v3.2.1-block-all-ingress 中指定。
只有允許的 IP 範圍可用於 Ingress 和 Express，這些範圍可在 pci-dss-v3.2.1-require-valid-network-ranges 中指定。
RBAC 繫結只能使用允許的主體，網域名稱可在 pci-dss-v3.2.1-restrict-rbac-subjects 中指定。

稽核 PCI-DSS 3.2.1 版政策套裝組合

您可以透過 Policy Controller，對 Kubernetes 叢集強制執行政策。如要測試工作負載及其是否符合上表列出的 PCI-DSS v3.2.1 政策，您可以「稽核」模式部署這些限制，找出違規事項，更重要的是，在 Kubernetes 叢集強制執行限制前，有機會修正這些事項。

您可以使用 kubectl、kpt 或 Config Sync，將 spec.enforcementAction 設為 dryrun 來套用這些政策。

kubectl

(選用) 使用 kubectl 預覽政策限制：

kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1

使用 kubectl 套用政策限制：

kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1

輸出內容如下：

asmpeerauthnstrictmtls.constraints.gatekeeper.sh/pci-dss-v3.2.1-asm-peer-authn-strict-mtls created
k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/pci-dss-v3.2.1-block-creation-with-default-serviceaccount created
k8sblockobjectsoftype.constraints.gatekeeper.sh/pci-dss-v3.2.1-block-secrets-of-type-basic-auth created
k8senforcecloudarmorbackendconfig.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-cloudarmor-backendconfig created
k8senforceconfigmanagement.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-config-management created
k8srequirecosnodeimage.constraints.gatekeeper.sh/pci-dss-v3.2.1-nodes-have-consistent-time created
k8srequiredaemonsets.constraints.gatekeeper.sh/pci-dss-v3.2.1-require-av-daemonset created
k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/pci-dss-v3.2.1-require-namespace-network-policies created
k8srequiredannotations.constraints.gatekeeper.sh/pci-dss-v3.2.1-apps-must-have-certain-set-of-annotations created
k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-managed-by-configmanagement-label created
k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v3.2.1-resources-have-required-labels created
k8srestrictnamespaces.constraints.gatekeeper.sh/pci-dss-v3.2.1-restrict-default-namespace created

確認已安裝政策限制，並檢查叢集是否發生違規情形：

kubectl get -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1

輸出結果會與下列內容相似：

NAME                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
asmpeerauthnstrictmtls.constraints.gatekeeper.sh/pci-dss-v3.2.1-asm-peer-authn-strict-mtls   dryrun               0

NAME                                                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/pci-dss-v3.2.1-block-creation-with-default-serviceaccount   dryrun               0

NAME                                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sblockobjectsoftype.constraints.gatekeeper.sh/pci-dss-v3.2.1-block-secrets-of-type-basic-auth   dryrun               0

NAME                                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8senforcecloudarmorbackendconfig.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-cloudarmor-backendconfig   dryrun               0

NAME                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8senforceconfigmanagement.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-config-management   dryrun               0

NAME                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequirecosnodeimage.constraints.gatekeeper.sh/pci-dss-v3.2.1-nodes-have-consistent-time   dryrun               0

NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequiredaemonsets.constraints.gatekeeper.sh/pci-dss-v3.2.1-require-av-daemonset   dryrun               0

NAME                                                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/pci-dss-v3.2.1-require-namespace-network-policies   dryrun               0

NAME                                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequiredannotations.constraints.gatekeeper.sh/pci-dss-v3.2.1-apps-must-have-certain-set-of-annotations   dryrun               0

NAME                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-managed-by-configmanagement-label   dryrun               0
k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v3.2.1-resources-have-required-labels              dryrun               0

NAME                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictnamespaces.constraints.gatekeeper.sh/pci-dss-v3.2.1-restrict-default-namespace   dryrun               0

KPT

安裝及設定 kpt。這些操作說明會使用 kpt 自訂及部署 Kubernetes 資源。

使用 kpt 從 GitHub 下載 PCI-DSS v3.2.1 政策套裝組合：

kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1

執行 set-enforcement-action kpt 函式，將政策的強制執行動作設為 dryrun：

kpt fn eval pci-dss-v3.2.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
  -- enforcementAction=dryrun

使用 kpt 初始化工作目錄，這會建立資源來追蹤變更：
```
cd pci-dss-v3.2.1
kpt live init
```
使用 kpt 套用政策限制：
```
kpt live apply
```
確認已安裝政策限制，並檢查叢集是否發生違規情形：
```
kpt live status --output table --poll-until current
```
狀態為 CURRENT，表示限制條件已成功安裝。

Config Sync

安裝及設定 kpt。這些操作說明會使用 kpt 自訂及部署 Kubernetes 資源。

如果運算子使用 Config Sync 將政策部署至叢集，可以按照下列指示操作：

變更為 Config Sync 的同步目錄：
```
cd SYNC_ROOT_DIR
```
注意： Kpt 1.0.0-beta.17 以上版本會在 live init 期間自動建立 resourcegroup.yaml 檔案，不應將該檔案簽入 Config Sync 存放區。如果沒有，請將 resourcegroup.yaml 新增至存放區的 .gitignore 檔案。

如要使用 resourcegroup.yaml 建立或附加 .gitignore，請按照下列步驟操作：
```
echo resourcegroup.yaml >> .gitignore
```
建立專屬的 policies 目錄：
```
mkdir -p policies
```

使用 kpt 從 GitHub 下載 PCI-DSS v3.2.1 政策套裝組合：

kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1 policies/pci-dss-v3.2.1

執行 set-enforcement-action kpt 函式，將政策的強制執行動作設為 dryrun：

kpt fn eval policies/pci-dss-v3.2.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun

(選用) 預覽要建立的政策限制：

kpt live init policies/pci-dss-v3.2.1
kpt live apply --dry-run policies/pci-dss-v3.2.1

如果 Config Sync 的同步目錄使用 Kustomize，請將 policies/pci-dss-v3.2.1 新增至根目錄 kustomization.yaml。否則請移除 policies/pci-dss-v3.2.1/kustomization.yaml 檔案：
```
rm SYNC_ROOT_DIR/policies/pci-dss-v3.2.1/kustomization.yaml
```

將變更推送至 Config Sync 存放區：

git add SYNC_ROOT_DIR/policies/pci-dss-v3.2.1
git commit -m 'Adding PCI-DSS v3.2.1 policy audit enforcement'
git push

驗證安裝狀態：

watch gcloud beta container fleet config-management status --project PROJECT_ID

如果狀態為 SYNCED，表示政策已安裝完成。

查看政策違規事項

在稽核模式下安裝政策限制後，您可以使用 Policy Controller 資訊主頁，在 UI 中查看叢集違規情形。

您也可以使用 kubectl，透過下列指令查看叢集上的違規事項：

kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

如有違規事項，您可以透過下列方式查看每個限制的違規訊息清單：

kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

變更 PCI-DSS 3.2.1 版政策套裝組合的強制執行動作

審查叢集中的政策違規事項後，您可以考慮變更強制執行模式，讓 Admission Controller warn 或 deny 阻止不符規定的資源套用至叢集。

kubectl

使用 kubectl 將政策的強制執行動作設為 warn：

kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'

確認政策限制強制執行動作已更新：

kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1

KPT

執行 set-enforcement-action kpt 函式，將政策的強制執行動作設為 warn：

kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn

套用政策限制：
```
kpt live apply
```

Config Sync

如果運算子使用 Config Sync 將政策部署至叢集，可以按照下列指示操作：

變更為 Config Sync 的同步目錄：
```
cd SYNC_ROOT_DIR
```

執行 set-enforcement-action kpt 函式，將政策的強制執行動作設為 warn：

kpt fn eval policies/pci-dss-v3.2.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn

將變更推送至 Config Sync 存放區：

git add SYNC_ROOT_DIR/policies/pci-dss-v3.2.1
git commit -m 'Adding PCI-DSS v3.2.1 policy bundle warn enforcement'
git push

驗證安裝狀態：
```
nomos status
```
叢集應顯示 SYNCED 狀態，並列出已安裝的政策。

測試政策強制執行

使用下列指令在叢集上建立不符規定的資源：

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

准入控制器應會產生警告，列出這項資源違反的政策，如下列範例所示：

Warning: [pci-dss-v3.2.1-restrict-default-namespace] <default> namespace is restricted
pod/wp-non-compliant created

移除 PCI-DSS v3.2.1 政策組合

如有需要，可以從叢集中移除 PCI-DSS v3.2.1 政策套裝組合。

kubectl

使用 kubectl 移除政策：

kubectl delete constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1

KPT

移除政策：
```
kpt live destroy
```

Config Sync

如果運算子使用 Config Sync 將政策部署至叢集，可以按照下列指示操作：

將變更推送至 Config Sync 存放區：

git rm -r SYNC_ROOT_DIR/policies/pci-dss-v3.2.1
git commit -m 'Removing PCI-DSS v3.2.1 policies'
git push

確認狀態：
```
nomos status
```
叢集應會顯示 SYNCED 狀態，且資源已移除。

使用 PCI-DSS v3.2.1 政策限制 透過集合功能整理內容 你可以依據偏好儲存及分類內容。

PCI-DSS v3.2.1 政策套裝組合限制

標準與擴充套裝組合限制

事前準備

設定 Policy Controller 的參照限制

為 PCI-DSS v3.2.1 設定叢集的工作負載

標準組合

加長型束帶 (選用，但必須自訂)

稽核 PCI-DSS 3.2.1 版政策套裝組合

kubectl

KPT

Config Sync

查看政策違規事項

變更 PCI-DSS 3.2.1 版政策套裝組合的強制執行動作

kubectl

KPT

Config Sync

測試政策強制執行

移除 PCI-DSS v3.2.1 政策組合

kubectl

KPT

Config Sync

使用 PCI-DSS v3.2.1 政策限制