安全性總覽

本頁面簡介如何為 Google Distributed Cloud 建立良好的安全做法。本頁面的指引並未詳盡列出所有最佳做法。

在 Google Distributed Cloud 上採用安全防護最佳做法,需要套用 Kubernetes 和 Google Kubernetes Engine (GKE) 的概念,以及 Google Distributed Cloud 獨有的概念。

Kubernetes 安全性

使用 Google Distributed Cloud 時,建議您遵循一般 Kubernetes 安全性指南。

如要瞭解 Kubernetes 安全性指南簡介,請參閱 Kubernetes 說明文件中的「安全性檢查清單」和「雲端原生安全性總覽」。

GKE 安全性

Google Distributed Cloud 會擴大 GKE 的使用範圍,讓您在自己的地端部署 Linux 伺服器建立 GKE 叢集。如要進一步瞭解 GKE 安全性,請參閱 GKE 安全性總覽。請注意,由於控制層和節點是在地端執行,因此控制層安全性節點安全性的建議不適用。

Google Distributed Cloud 安全性

以下各節提供指南,協助您為 Google Distributed Cloud 建立良好的安全做法。

硬體安全

  • 運用業界標準的實體安全防護和安全功能,保護您的地端資料中心。

  • 確保管理工作站的存取權受到嚴格限制。管理員工作站會儲存機密資料,例如 kubeconfig 檔案、SSH 金鑰和服務帳戶金鑰。

節點安全性

  • 更新軟體套件並安裝安全性修補程式,確保作業系統維持在最新狀態。

  • 如要進一步控管工作負載映像檔提取作業,並享有相關安全優勢,可以設定工作站節點,向私人登錄檔進行驗證。節點的私有登錄檔支援功能適用於 1.29 版叢集的預先發布版。

  • 根據預設,Google Distributed Cloud 會將 Docker apt 存放區和所需的 GPG 金鑰新增至叢集節點。除了在部署作業的每個叢集節點中新增套件存放區,您也可以設定叢集使用私人套件存放區來存放容器映像檔。

叢集安全性

工作負載安全性

網路安全

驗證安全性

  • 使用 GKE Identity Service 管理身分。GKE Identity Service 是一項驗證服務,可讓您在多個 Google Kubernetes Engine (GKE) Enterprise 版環境中,使用現有的身分識別解決方案進行驗證。您可以透過指令列 (所有供應商) 或 Google Cloud 控制台 (僅限 OIDC),使用現有的身分識別供應商登入及使用 Google Distributed Cloud 叢集。

  • 使用 Connect 閘道連線至已註冊的叢集。Connect 閘道以機群為基礎,讓 GKE Enterprise 使用者以一致且安全的方式,連線至已註冊的叢集並執行指令。

憑證安全

  • 輪替憑證授權單位。 Google Distributed Cloud 會使用憑證和私密金鑰,驗證叢集中系統元件之間的連線並加密。為維持安全的叢集通訊,請定期輪替使用者叢集憑證授權單位,並在發生可能的安全漏洞時進行輪替。

  • 輪替服務帳戶金鑰。為降低金鑰外洩造成的安全風險,建議您定期輪替服務金鑰。

監控安全性

  • 使用 Kubernetes 稽核記錄。稽核記錄可讓管理員保留、查詢、處理 Google Distributed Cloud 環境中發生的事件,並建立快訊。

如要進一步瞭解如何監控叢集安全性,請參閱「監控車隊安全防護機制」。