Responsabilità condivisa di GKE Enterprise
L'esecuzione di un'applicazione business-critical su GKE Enterprise richiede che più parti si assumano responsabilità diverse. Sebbene non sia un elenco esaustivo, questo argomento elenca i ruoli e le responsabilità per ogni opzione di cluster GKE Enterprise sia per Google che per il cliente.
Questa pagina è rivolta ad amministratori, architetti e operatori che gestiscono il ciclo di vita dell'infrastruttura tecnologica sottostante. Per scoprire di più sui ruoli comuni e sulle attività di esempio a cui facciamo riferimento nei contenuti di Google Cloud , consulta Ruoli utente e attività comuni di GKE Enterprise.
GKE su Google Cloud
Responsabilità di Google
- Protezione dell'infrastruttura sottostante, inclusi hardware, firmware, kernel, sistema operativo, archiviazione, rete e altro ancora. Ciò include la crittografia dei dati at-rest per impostazione predefinita, la fornitura di crittografia del disco gestita dal cliente aggiuntiva, la crittografia dei dati in transito, l'utilizzo di hardware progettato su misura, la posa di cavi di rete privati, la protezione dei data center dall'accesso fisico, la protezione del bootloader e del kernel da modifiche mediante nodi schermati e il rispetto di pratiche di sviluppo software sicure.
- Rafforzamento e applicazione di patch al sistema operativo dei nodi, ad esempio Container-Optimized OS o Ubuntu. GKE rende immediatamente disponibili le patch per queste immagini. Se hai attivato l'upgrade automatico o utilizzi un canale di rilascio, questi aggiornamenti vengono implementati automaticamente. Questo è il livello del sistema operativo sottostante il container, non è lo stesso del sistema operativo in esecuzione nei container.
- Creazione e gestione del rilevamento delle minacce specifiche per i container nel kernel con Container Threat Detection (prezzo separato con Security Command Center).
- Rafforzamento e
applicazione di patch
ai componenti dei nodi Kubernetes. Tutti i componenti gestiti di GKE vengono aggiornati
automaticamente quando esegui l'upgrade delle versioni dei nodi GKE. Ad esempio:
- Meccanismo di bootstrap attendibile basato su vTPM per l'emissione di certificati TLS kubelet e rotazione automatica dei certificati
- Configurazione di kubelet rafforzata in conformità con i benchmark CIS
- Server metadati GKE per Workload Identity
- Plug-in Container Network Interface e Calico per NetworkPolicy nativi di GKE
- Integrazioni di archiviazione GKE Kubernetes come il driver CSI
- GKE agenti di logging e monitoraggio
- Rafforzamento e applicazione di patch al control plane. Il control plane include la VM del control plane, l'API server, lo scheduler, il gestore del controller, la CA del cluster, l'emissione e la rotazione dei certificati TLS, il materiale della chiave root-of-trust, l'autenticatore e l'autorizzatore IAM, la configurazione della registrazione degli audit, etcd e vari altri controller. Tutti i componenti del piano di controllo vengono eseguiti su istanze di Compute Engine gestite da Google. Queste istanze sono single-tenant, il che significa che ogni istanza esegue il piano di controllo e i relativi componenti per un solo cliente.
- Fornisci Google Cloud integrazioni per Connect, Identity and Access Management, Cloud Audit Logs, Google Cloud Observability, Cloud Key Management Service, Security Command Center e altri.
- Limita e registra l'accesso amministrativo di Google ai cluster dei clienti per scopi di assistenza contrattuale con Access Transparency.
Responsabilità del cliente
- Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di build, le immagini dei container, i dati, i criteri di controllo dell'accesso basato sui ruoli (RBAC)/IAM e i container e i pod in esecuzione.
- Ruota le credenziali dei cluster.
- Mantieni i pool di nodi Standard registrati per gli upgrade automatici.
- Nelle seguenti situazioni, esegui l'upgrade manuale dei cluster e dei pool di nodi
per correggere le vulnerabilità entro le tempistiche di applicazione delle patch della tua organizzazione:
- Gli upgrade automatici vengono posticipati a causa di fattori quali le policy di manutenzione.
- Devi applicare una patch prima che diventi disponibile nel canale di rilascio selezionato. Per maggiori informazioni, vedi Eseguire versioni patch da un canale più recente.
- Monitora il cluster e le applicazioni e rispondi a eventuali avvisi e incidenti utilizzando tecnologie come la dashboard della postura di sicurezza e Google Cloud Observability.
- Fornire a Google i dettagli ambientali quando richiesti per la risoluzione dei problemi.
- Assicurati che il logging e il monitoraggio siano abilitati sui cluster. Senza log, l'assistenza è disponibile secondo il criterio del "best effort".
Google Distributed Cloud (solo software) su VMware
Responsabilità di Google
Gestisci e distribuisci il pacchetto software Google Distributed Cloud, inclusi i controller Kubernetes, vCenter e F5, il controller Ingress, gli agenti Connect, Logging e Monitoring e lo strumento a riga di comando
gkectl.Gestisci e distribuisci le immagini delle macchine workstation amministrativa e nodo Ubuntu, inclusi patch e correzioni di sicurezza regolari.
Esegui la scansione continua dei componenti con l'API Artifact Analysis e applica patch alle vulnerabilità note.
Notifica agli utenti gli upgrade disponibili per Google Distributed Cloud e produce script di upgrade per la versione precedente; Google Distributed Cloud su VMware supporta solo gli upgrade sequenziali (1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci Google Cloud integrazioni per Connect e Google Cloud Observability.
Risolvi i problemi, fornisci soluzioni alternative e correggi la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Amministrazione generale del sistema per i cluster on-premise.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di build, le immagini dei container, i dati, i criteri di controllo dell'accesso basato sui ruoli (RBAC)/IAM e i container e i pod in esecuzione.
Gestire, mantenere e applicare patch all'infrastruttura, incluse reti, server, spazio di archiviazione e connettività a Google Cloud.
Gestisci, mantieni e applica patch a vSphere e ai bilanciatori del carico di rete.
Mantieni i contratti di assistenza con VMware e F5 (se implementati).
Esegui l'upgrade di Google Distributed Cloud a una versione supportata su base regolare.
Esegui il deployment e testa i tuoi carichi di lavoro sulle immagini macchina dei nodi aggiornate. Esegui il deployment e testa le immagini aggiornate della workstation amministrativa nel tuo ambiente. Segnala i tuoi dubbi a Google tramite l'assistenza clienti Google Cloud.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano implementati nei cluster. Senza log, l'assistenza è disponibile secondo il criterio del "best effort".
Fornire a Google i dettagli ambientali (ad esempio, la configurazione di rete) quando richiesto a scopo di risoluzione dei problemi.
Google Distributed Cloud (solo software) su bare metal
Responsabilità di Google
Gestisci e distribuisci il pacchetto software Google Distributed Cloud, inclusi Kubernetes, il controller Ingress, Connect e gli agenti Logging e Monitoring, nonché lo strumento a riga di comando
bmctl.Esegui la scansione continua dei componenti con l'API Artifact Analysis e applica patch alle vulnerabilità note.
Notifica agli utenti gli upgrade disponibili per Google Distributed Cloud e produci le istruzioni di upgrade per la versione precedente; Google Distributed Cloud su bare metal supporta gli upgrade sequenziali tra le versioni secondarie e le patch (solo 1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci Google Cloud integrazioni per Connect e Google Cloud Observability.
Risolvi i problemi, fornisci soluzioni alternative e correggi la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornisci l'amministrazione generale del sistema per i cluster.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di build, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestire, mantenere e applicare patch all'infrastruttura, incluse reti, server, spazio di archiviazione e connettività a Google Cloud.
Mantenere i contratti di assistenza con i fornitori.
Esegui l'upgrade di Google Distributed Cloud a una versione supportata su base regolare.
Esegui il deployment e testa i tuoi carichi di lavoro sulle immagini macchina dei nodi aggiornate. Esegui il deployment e testa le immagini aggiornate della workstation amministrativa nel tuo ambiente. Segnala i tuoi dubbi a Google tramite l'assistenza clienti Google Cloud.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano implementati nei cluster. Senza log, l'assistenza è disponibile secondo il criterio del "best effort".
Fornire a Google i dettagli ambientali (ad esempio, la configurazione di rete) quando richiesto a scopo di risoluzione dei problemi.
GKE su AWS (multi-cloud)
Responsabilità di Google
Gestire e distribuire il pacchetto software GKE su AWS, inclusi Kubernetes, le immagini di base, le funzionalità di integrazione AWS, il controller Ingress, l'agente Connect e lo strumento a riga di comando
anthos-gke.Esegui la scansione continua dei componenti con l'API Artifact Analysis e applica patch alle vulnerabilità note.
Gestisci e distribuisci il servizio di gestione, il piano di controllo e le immagini macchina del pool di nodi, incluse patch e correzioni di sicurezza regolari.
Notifica agli utenti gli upgrade disponibili per GKE su AWS e genera istruzioni di upgrade per la versione precedente. GKE su AWS supporta solo gli upgrade sequenziali (1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci Google Cloud integrazioni per Connect e Google Cloud Observability.
Risolvi i problemi, fornisci soluzioni alternative e correggi la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornisci l'amministrazione generale del sistema per i cluster GKE su AWS. Ad esempio, configurandoli per funzionare all'interno dell'ambiente VPC aziendale.
Gestisci i tuoi workload, inclusi il codice dell'applicazione, i file di build, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestire e mantenere l'ambiente AWS, inclusa la configurazione di rete e la connettività a Google Cloud.
Mantenere i contratti di assistenza con AWS.
Esegui l'upgrade di GKE su AWS a una versione supportata su base regolare.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano implementati nei cluster. Senza log, l'assistenza è disponibile secondo il criterio del "best effort".
Fornisci a Google dettagli ambientali (ad esempio, la configurazione di AWS VPC) quando richiesti a scopo di risoluzione dei problemi.
GKE su Azure
Responsabilità di Google
Gestisci e distribuisci il pacchetto software GKE su Azure, inclusi Kubernetes, immagini di base, integrazioni Azure, il controller Ingress, l'agente Connect e la Google Cloud CLI.
Esegui la scansione continua dei componenti con l'API Artifact Analysis e applica patch alle vulnerabilità note.
Gestisci e distribuisci il servizio di gestione, il control plane e le immagini macchina del pool di nodi, incluse patch e correzioni di sicurezza regolari.
Notifica agli utenti gli upgrade disponibili per GKE su Azure e genera istruzioni per l'upgrade della versione precedente. GKE su Azure supporta solo gli upgrade sequenziali (1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci Google Cloud integrazioni per Connect e Google Cloud Observability.
Risolvi i problemi, fornisci soluzioni alternative e correggi la causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornire l'amministrazione generale del sistema per i cluster GKE su Azure. Ad esempio, configurandoli per funzionare all'interno dell'ambiente VPC aziendale.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di build, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestire e mantenere l'ambiente Azure, inclusa la configurazione di rete e la connettività a Google Cloud.
Mantenere i contratti di assistenza con Azure.
Esegui l'upgrade di GKE su Azure a una versione supportata su base regolare.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Assicurati che gli agenti Logging e Monitoring siano implementati nei cluster. Senza log, l'assistenza è disponibile secondo il criterio del "best effort".
Fornisci a Google i dettagli ambientali (ad esempio, la configurazione di Azure VNet) quando richiesto a scopo di risoluzione dei problemi.
Cluster collegati a GKE Enterprise
Responsabilità di Google
Fornisci un elenco delle distribuzioni e delle versioni di Kubernetes supportate.
Avvisa gli utenti degli upgrade disponibili per i componenti di GKE Enterprise e genera istruzioni per l'upgrade alla versione precedente. GKE Enterprise supporta solo gli upgrade sequenziali (1.2 → 1.3 → 1.4 e non 1.2 → 1.4).
Fornisci Google Cloud integrazioni per Connect e Google Cloud Observability.
Risoluzione dei problemi, fornitura di soluzioni alternative e correzione della causa principale di eventuali problemi relativi ai componenti forniti da Google.
Responsabilità del cliente
Fornire una piattaforma Kubernetes moderna che soddisfi le specifiche di Google. La piattaforma include, a titolo esemplificativo: hardware, sistema operativo, server API Kubernetes, configurazione VPC e altri attributi.
Gestisci i tuoi carichi di lavoro, inclusi il codice dell'applicazione, i file di build, le immagini container, i dati, i criteri di autorizzazione RBAC/IAM e i container e i pod in esecuzione.
Gestire, mantenere e applicare patch all'infrastruttura, incluse reti, server, spazio di archiviazione e connettività a Google Cloud.
Gestisci, mantieni e applica patch a qualsiasi infrastruttura necessaria per eseguire il cluster.
Mantenere i contratti di assistenza con terze parti. Ad esempio: fornitori di networking, orchestrazione dei container, risorse di computing e archiviazione.
Esegui l'upgrade di Kubernetes a una versione supportata su base regolare.
Monitora i cluster e le applicazioni e rispondi a eventuali incidenti.
Mantieni i cluster connessi ai servizi Google.
Fornire a Google i dettagli ambientali (ad esempio, la configurazione di rete) quando richiesto a scopo di risoluzione dei problemi.
Passaggi successivi
Scopri come Google gestisce le patch di sicurezza per GKE Enterprise.
Configura Logging e Monitoring per: