Pengontrol Kebijakan dilengkapi library default berisi template batasan yang dapat digunakan dengan paket kebijakan GKE v1.5.0 Center for Internet Security (CIS) untuk membantu mengaudit kepatuhan cluster GKE di Google Cloud berdasarkan CIS Google Kubernetes Engine (GKE) Benchmarks v1.5.0. Benchmark ini adalah serangkaian kontrol keamanan yang direkomendasikan untuk mengonfigurasi GKE.
Paket batasan ini mencakup kontrol di domain berikut:
- RBAC dan akun layanan
- Kebijakan Keamanan Pod
- Kebijakan jaringan dan CNI
- Pengelolaan rahasia
- Kontrol Penerimaan yang Dapat Diperluas
- Kebijakan umum
- Layanan Terkelola
Batasan paket kebijakan CIS GKE v1.5.0
Nama Batasan | Deskripsi Batasan | ID Kontrol |
---|---|---|
cis-gke-v1.5.0-apparmor | Membatasi profil AppArmor untuk Pod.
|
4.2.1 |
cis-gke-v1.5.0-restrict-creation-with-default-serviceaccount | Membatasi pembuatan resource menggunakan ServiceAccount default.
|
4.1.5 |
cis-gke-v1.5.0-restrict-loadbalancer | Melarang semua layanan dengan jenis LoadBalancer .
|
5.6.8 |
cis-gke-v1.5.0-restrict-secrets-of-type-basic-auth | Membatasi penggunaan rahasia jenis autentikasi dasar. | 4.4.2 |
cis-gke-v1.5.0-require-binauthz | Memerlukan Webhook Pendaftaran Validasi Otorisasi Biner. | 4.5.1, 5.10.4 |
cis-gke-v1.5.0-require-cos-node-image | Memerlukan OS yang Dioptimalkan untuk Container sebagai OS image node. | 5.5.1 |
cis-gke-v1.5.0-require-gke-metadata-server-enabled | Layanan Metadata GKE harus diaktifkan pada setiap node dalam cluster. | 5.4.2 |
cis-gke-v1.5.0-require-ingress.class-gce | Mengharuskan semua objek Ingress memiliki anotasi kubernetes.io/ingress.class: gce .
|
5.6.8 |
cis-gke-v1.5.0-require-managed-certificates | Mengharuskan semua objek Ingress memiliki anotasi networking.gke.io/managed-certificates .
|
5.6.8 |
cis-gke-v1.5.0-require-namespace-networkpolicy | Mengharuskan bahwa setiap Namespace yang ditentukan dalam cluster memiliki NetworkPolicy .
|
4.3.2 |
cis-gke-v1.5.0-require-seccomp-default | Penampung tidak dapat dijalankan dengan profil seccomp selain runtime/default .
|
4.6.2 |
cis-gke-v1.5.0-require-securitycontext | Pod harus menentukan securityContext .
|
4.6.3 |
cis-gke-v1.5.0-capabilities | Penambahan kemampuan di luar yang tercantum tidak diizinkan. | 4.2.1 |
cis-gke-v1.5.0-restrict-cluster-admin-role | Membatasi penggunaan peran cluster-admin .
|
4.1.1 |
cis-gke-v1.5.0-restrict-default-namespace | Membatasi pod agar tidak menggunakan Namespace default.
|
4.6.1, 4.6.4 |
cis-gke-v1.5.0-restrict-env-var-secrets | Membatasi penggunaan secret sebagai variabel lingkungan dalam definisi container. | 4.4.1 |
cis-gke-v1.5.0-host-namespace | Membatasi penampung dengan hostPID atau hostIPC ditetapkan ke benar (true).
|
4.2.1 |
cis-gke-v1.5.0-restrict-pods-create | Membatasi pembuatan pod di Roles dan ClusterRoles .
|
4.1.4 |
cis-gke-v1.5.0-restrict-privileged-containers | Membatasi penampung dengan securityContext.privileged yang ditetapkan ke true (benar).
|
4.2.1 |
cis-gke-v1.5.0-restrict-rbac-subjects | Membatasi penggunaan nama dalam subjek RBAC ke nilai yang diizinkan. | 5.8.2 |
cis-gke-v1.5.0-restrict-role-wildcards | Membatasi penggunaan karakter pengganti di Roles dan ClusterRoles .
|
4.1.3 |
cis-gke-v1.5.0-restrict-role-secrets | Membatasi penggunaan secret di Roles dan ClusterRoles .
|
4.1.2 |
cis-gke-v1.5.0-restrict-automountserviceaccounttoken | Membatasi penggunaan token akun layanan untuk pod. | 4.1.5, 4.1.6 |
cis-gke-v1.5.0-selinux | Tidak dapat menetapkan jenis SELinux atau menetapkan opsi pengguna atau peran SELinux kustom. | 4.2.1 |
cis-gke-v1.5.0-host-port | HostPorts seharusnya tidak diizinkan.
|
4.2.1 |
cis-gke-v1.5.0-hostpath-volumes | Volume HostPath harus dilarang.
|
4.2.1 |
cis-gke-v1.5.0-hostprocess | Penampung dan pod tidak dapat berjalan dengan securityContext.windowsOptions.hostProcess ditetapkan ke true .
|
4.2.1 |
cis-gke-v1.5.0-proc-mount-type | Penampung tidak dapat berjalan dengan procMount yang ditetapkan ke nilai selain Default .
|
4.2.1 |
cis-gke-v1.5.0-restrict-bind-escalate-impersonate | Membatasi akses ke pengikatan, eskalasikan, peniruan identitas pada peran/clusterrole di Roles dan ClusterRoles .
|
4.1.8 |
cis-gke-v1.5.0-restrict-certificatesigningrequests-approval | Persetujuan sertifikat klien dibatasi. | 4.1.11 |
cis-gke-v1.5.0-restrict-nodes-proxy | Membatasi akses ke sub-resource proxy node di Roles dan ClusterRoles .
|
4.1.10 |
cis-gke-v1.5.0-restrict-persistent-volume | Membatasi pembuatan persistentvolumes di Roles dan ClusterRoles .
|
4.1.9 |
cis-gke-v1.5.0-restrict-serviceaccounts-token | Membatasi pembuatan token akun layanan di Roles dan ClusterRoles .
|
4.1.13 |
cis-gke-v1.5.0-restrict-system-masters-group | Melarang penggunaan grup system:masters .
|
5.1.7 |
cis-gke-v1.5.0-restrict-system-masters-group | Membatasi akses ke objek konfigurasi webhook di Roles dan ClusterRoles .
|
4.1.12 |
cis-gke-v1.5.0-seccomp | Profil Seccomp tidak boleh disetel ke Unconfined .
|
4.2.1 |
cis-gke-v1.5.0-sysctls | Container hanya dapat menetapkan sistem yang tercantum di kolom allowedSysctls .
|
4.2.1 |
cis-gke-v1.5.0-host-namespaces-hostnetwork | Namespace host hostNetwork hanya boleh false .
|
4.2.1 |
Sebelum memulai
- Instal dan inisialisasi Google Cloud CLI, yang menyediakan perintah
gcloud
dankubectl
yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah diinstal sebelumnya. - Instal Pengontrol Kebijakan v1.16.2 atau yang lebih baru pada cluster Anda dengan library default template batasan. Anda juga harus mengaktifkan dukungan untuk batasan referensi, karena paket ini berisi batasan referensial.
Mengonfigurasi untuk batasan referensial
Simpan manifes YAML berikut ke file sebagai
policycontroller-config.yaml
. Manifes mengonfigurasi Pengontrol Kebijakan untuk mengawasi jenis objek tertentu.apiVersion: config.gatekeeper.sh/v1alpha1 kind: Config metadata: name: config namespace: "gatekeeper-system" spec: sync: syncOnly: - group: "admissionregistration.k8s.io" version: "v1" kind: "ValidatingWebhookConfiguration" - group: "networking.k8s.io" version: "v1" kind: "NetworkPolicy"
Terapkan manifes
policycontroller-config.yaml
:kubectl apply -f policycontroller-config.yaml
Mengonfigurasi cluster dan beban kerja Anda
- Pengaktifan dan konfigurasi
Google Grup untuk RBAC
diperlukan di
cis-gke-v1.5.0-restrict-rbac-subjects
. - Pengaktifan dan konfigurasi
Otorisasi Biner diperlukan di
cis-gke-v1.5.0-require-binauthz
.
Mengaudit kebijakan
Dengan Pengontrol Kebijakan, Anda dapat menerapkan kebijakan untuk cluster Kubernetes Anda. Untuk membantu menguji workload Anda dan kepatuhannya terhadap kebijakan CIS GKE v1.5.0 yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkapkan dan menangani pelanggaran.
Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction
yang ditetapkan ke dryrun
menggunakan kubectl,
kpt,
atau
Config Sync.
kubectl
(Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:
kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-gke-v1.5.0
Terapkan batasan kebijakan dengan kubectl:
kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-gke-v1.5.0
Output-nya adalah sebagai berikut:
k8savoiduseofsystemmastersgroup.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-system-masters-group created k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-creation-with-default-serviceaccount created k8sblockloadbalancer.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-loadbalancer created k8sblockobjectsoftype.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-secrets-of-type-basic-auth created k8snoenvvarsecrets.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-env-var-secrets created k8spspapparmor.constraints.gatekeeper.sh/cis-gke-v1.5.0-apparmor created k8spspcapabilities.constraints.gatekeeper.sh/cis-gke-v1.5.0-capabilities created k8spspforbiddensysctls.constraints.gatekeeper.sh/cis-gke-v1.5.0-sysctls created k8spsphostfilesystem.constraints.gatekeeper.sh/cis-gke-v1.5.0-hostpath-volumes created k8spsphostnamespace.constraints.gatekeeper.sh/cis-gke-v1.5.0-host-namespace created k8spsphostnetworkingports.constraints.gatekeeper.sh/cis-gke-v1.5.0-host-port created k8spspprivilegedcontainer.constraints.gatekeeper.sh/cis-gke-v1.5.0-privileged-containers created k8spspprocmount.constraints.gatekeeper.sh/cis-gke-v1.5.0-proc-mount-type created k8spspselinuxv2.constraints.gatekeeper.sh/cis-gke-v1.5.0-selinux created k8spspseccomp.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-seccomp-default created k8spspseccomp.constraints.gatekeeper.sh/cis-gke-v1.5.0-seccomp created k8spspwindowshostprocess.constraints.gatekeeper.sh/cis-gke-v1.5.0-hostprocess created k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-securitycontext created k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-role-wildcards created k8srequirebinauthz.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-binauthz created k8srequirecosnodeimage.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-cos-node-image created k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-namespace-networkpolicy created k8srequiredannotations.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-ingress.class-gce created k8srequiredannotations.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-managed-certificates created k8srequiredlabels.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-gke-metadata-server-enabled created k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-automountserviceaccounttoken created k8srestrictnamespaces.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-default-namespace created k8srestrictrbacsubjects.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-rbac-subjects created k8srestrictrolebindings.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-cluster-admin-role created k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-bind-escalate-impersonate created k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-certificatesigningrequests-approval created k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-nodes-proxy created k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-persistent-volume created k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-pods-create created k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-role-secrets created k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-serviceaccounts-token created k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-webhook-config created
Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:
kubectl get constraints -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0
Outputnya mirip dengan hal berikut ini:
NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8savoiduseofsystemmastersgroup.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-system-masters-group dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-creation-with-default-serviceaccount dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockloadbalancer.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-loadbalancer dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sblockobjectsoftype.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-secrets-of-type-basic-auth dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8snoenvvarsecrets.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-env-var-secrets dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spodsrequiresecuritycontext.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-securitycontext dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8sprohibitrolewildcardaccess.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-role-wildcards dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspapparmor.constraints.gatekeeper.sh/cis-gke-v1.5.0-apparmor dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspcapabilities.constraints.gatekeeper.sh/cis-gke-v1.5.0-capabilities dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspforbiddensysctls.constraints.gatekeeper.sh/cis-gke-v1.5.0-sysctls dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostfilesystem.constraints.gatekeeper.sh/cis-gke-v1.5.0-hostpath-volumes dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnamespace.constraints.gatekeeper.sh/cis-gke-v1.5.0-host-namespace dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spsphostnetworkingports.constraints.gatekeeper.sh/cis-gke-v1.5.0-host-port dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspprivilegedcontainer.constraints.gatekeeper.sh/cis-gke-v1.5.0-privileged-containers dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspprocmount.constraints.gatekeeper.sh/cis-gke-v1.5.0-proc-mount-type dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspseccomp.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-seccomp-default dryrun 0 k8spspseccomp.constraints.gatekeeper.sh/cis-gke-v1.5.0-seccomp dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspselinuxv2.constraints.gatekeeper.sh/cis-gke-v1.5.0-selinux dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspwindowshostprocess.constraints.gatekeeper.sh/cis-gke-v1.5.0-hostprocess dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirebinauthz.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-binauthz dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirecosnodeimage.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-cos-node-image dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredannotations.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-ingress.class-gce dryrun 0 k8srequiredannotations.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-managed-certificates dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequiredlabels.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-gke-metadata-server-enabled dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/cis-gke-v1.5.0-require-namespace-networkpolicy dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictautomountserviceaccounttokens.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-automountserviceaccounttoken dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictnamespaces.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-default-namespace dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrbacsubjects.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-rbac-subjects dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrolebindings.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-cluster-admin-role dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-bind-escalate-impersonate dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-certificatesigningrequests-approval dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-nodes-proxy dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-persistent-volume dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-pods-create dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-role-secrets dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-serviceaccounts-token dryrun 0 k8srestrictrolerules.constraints.gatekeeper.sh/cis-gke-v1.5.0-restrict-webhook-config dryrun 0
kpt
Penginstalan dan penyiapan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.
Download paket kebijakan CIS dari GitHub menggunakan kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-gke-v1.5.0
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kedryrun
:kpt fn eval cis-gke-v1.5.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \ -- enforcementAction=dryrun
Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:
cd cis-gke-v1.5.0 kpt live init
Terapkan batasan kebijakan dengan kpt:
kpt live apply
Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:
kpt live status --output table --poll-until current
Status
CURRENT
mengonfirmasi penginstalan batasan yang berhasil.
Config Sync
- Penginstalan dan penyiapan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Ubah ke direktori sinkronisasi untuk Config Sync:
cd SYNC_ROOT_DIR
Untuk membuat atau menambahkan
.gitignore
denganresourcegroup.yaml
:echo resourcegroup.yaml >> .gitignore
Buat direktori
policies
khusus:mkdir -p policies
Download paket kebijakan CIS GKE v1.5.0 dari GitHub menggunakan kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/cis-gke-v1.5.0 policies/cis-gke-v1.5.0
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kedryrun
:kpt fn eval policies/cis-gke-v1.5.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
(Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:
kpt live init policies/cis-gke-v1.5.0 kpt live apply --dry-run policies/cis-gke-v1.5.0
Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Kustomize, tambahkan
policies/cis-gke-v1.5.0
kekustomization.yaml
root Anda. Jika tidak, hapus filepolicies/cis-gke-v1.5.0/kustomization.yaml
:rm SYNC_ROOT_DIR/policies/cis-gke-v1.5.0/kustomization.yaml
Kirim perubahan ke repositori Config Sync:
git add SYNC_ROOT_DIR/policies/cis-gke-v1.5.0 git commit -m 'Adding CIS GKE v1.5.0 policy bundle' git push
Verifikasi status penginstalan:
watch gcloud beta container fleet config-management status --project PROJECT_ID
Status
SYNCED
mengonfirmasi penginstalan kebijakan.
Lihat pelanggaran kebijakan
Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.
Anda juga dapat menggunakan kubectl
untuk melihat pelanggaran di cluster menggunakan perintah
berikut:
kubectl get constraint -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
Jika ada pelanggaran, listingan pesan pelanggaran per batasan dapat dilihat dengan:
kubectl get constraint -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
Mengubah tindakan penegakan paket kebijakan CIS GKE v1.5.0
Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan
untuk mengubah mode penerapan sehingga Pengontrol Pendaftaran akan warn
aktif
atau bahkan deny
memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.
kubectl
Gunakan kubectl untuk menetapkan tindakan penerapan kebijakan ke
warn
:kubectl get constraint -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
Pastikan tindakan penerapan batasan kebijakan telah diperbarui:
kubectl get constraints -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0
kpt
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kewarn
:kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Terapkan batasan kebijakan:
kpt live apply
Config Sync
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Ubah ke direktori sinkronisasi untuk Config Sync:
cd SYNC_ROOT_DIR
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kewarn
:kpt fn eval policies/cis-gke-v1.5.0 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Kirim perubahan ke repositori Config Sync:
git add SYNC_ROOT_DIR/policies/cis-gke-v1.5.0 git commit -m 'Adding CIS GKE v1.5.0 policy bundle warn enforcement' git push
Verifikasi status penginstalan:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Repositori Anda yang muncul di kolom
SYNCED
akan mengonfirmasi penginstalan kebijakan.
Menguji penegakan kebijakan
Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:
cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
namespace: default
name: wp-non-compliant
labels:
app: wordpress
spec:
containers:
- image: wordpress
name: wordpress
ports:
- containerPort: 80
name: wordpress
EOF
Pengontrol penerimaan harus menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilanggar oleh resource ini, seperti ditunjukkan dalam contoh berikut:
Warning: [cis-gke-v1.5.0-restrict-default-namespace] <default> namespace is restricted Warning: [cis-gke-v1.5.0-require-seccomp-default] Seccomp profile 'not configured' is not allowed for container 'wordpress'. Found at: no explicit profile found. Allowed profiles: {"RuntimeDefault", "runtime/default"} Warning: [cis-gke-v1.5.0-require-securitycontext] securityContext must be defined for all Pod containers pod/wp-non-compliant configured
Menghapus paket kebijakan CIS GKE v1.5.0
Jika perlu, paket kebijakan CIS GKE v1.5.0 dapat dihapus dari cluster.
kubectl
Gunakan kubectl untuk menghapus kebijakan:
kubectl delete constraint -l policycontroller.gke.io/bundleName=cis-gke-v1.5.0
kpt
Hapus kebijakan:
kpt live destroy
Config Sync
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Kirim perubahan ke repositori Config Sync:
git rm -r SYNC_ROOT_DIR/policies/cis-gke-v1.5.0 git commit -m 'Removing CIS GKE v1.5.0 policy bundle' git push
Verifikasi statusnya:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Repositori Anda yang muncul di kolom
SYNCED
akan mengonfirmasi penghapusan kebijakan.