Halaman ini diterjemahkan oleh Cloud Translation API.

Menggunakan batasan kebijakan PCI-DSS v3.2.1

Policy Controller dilengkapi dengan library template batasan default yang dapat digunakan dengan paket PCI-DSS v3.2.1 untuk mengevaluasi kepatuhan resource cluster Anda terhadap beberapa aspek Standar Keamanan Data Industri Kartu Pembayaran (PCI-DSS) v3.2.1.

Halaman ini ditujukan bagi administrator dan Operator IT yang ingin memastikan bahwa semua resource yang berjalan dalam platform cloud memenuhi persyaratan kepatuhan organisasi dengan menyediakan dan mempertahankan otomatisasi untuk mengaudit atau menerapkan. Untuk mempelajari lebih lanjut peran umum dan contoh tugas yang kami referensikan dalam konten, lihat Peran dan tugas pengguna GKE umum. Google Cloud

Batasan paket kebijakan PCI-DSS v3.2.1

Nama Batasan	Deskripsi Batasan	ID Kontrol	Profil
pci-dss-v3.2.1-resources-have-required-labels	Memastikan persyaratan untuk firewall dengan mewajibkan semua aplikasi berisi label tertentu.	1.1.4	Standar
pci-dss-v3.2.1-apps-must-have-certain-set-of-annotations	Memastikan persyaratan untuk network-controls dengan mewajibkan semua aplikasi berisi anotasi tertentu.	1.1.5, 2.4	Standar
pci-dss-v3.2.1-require-default-deny-network-policies	Mewajibkan setiap namespace yang ditentukan dalam cluster memiliki `NetworkPolicy` tolak default untuk egress.	1.2, 1.3, 2.2.2	Diperpanjang
pci-dss-v3.2.1-block-all-ingress	Membatasi pembuatan objek ingress.	1.2, 1.3	Diperpanjang
pci-dss-v3.2.1-require-valid-network-ranges	Membatasi rentang CIDR yang diizinkan untuk digunakan dengan ingress dan egress.	1.2, 1.3.2	Diperpanjang
pci-dss-v3.2.1-require-namespace-network-policies	Mewajibkan setiap namespace yang ditentukan dalam cluster memiliki NetworkPolicy.	1,2	Standar
pci-dss-v3.2.1-enforce-managed-by-configmanagement-label	Memerlukan label `app.kubernetes.io/managed-by=` yang valid pada resource `RoleBinding`.	1.2.2, 8.1.2	Standar
pci-dss-v3.2.1-block-creation-with-default-serviceaccount	Membatasi pembuatan resource menggunakan akun layanan default.	2.1	Standar
pci-dss-v3.2.1-restrict-default-namespace	Membatasi pod agar tidak menggunakan namespace default.	2.1	Standar
pci-dss-v3.2.1-asm-peer-authn-strict-mtls	Memastikan semua PeerAuthentication tidak dapat menggantikan mTLS yang ketat.	4.1	Standar
pci-dss-v3.2.1-require-av-daemonset	Memerlukan kehadiran daemonset Anti-Virus.	5.1.1, 5.3	Standar
pci-dss-v3.2.1-enforce-config-management	Menerapkan kehadiran dan pengaktifan Config Sync.	5.3, 6.1, 6.4	Standar
pci-dss-v3.2.1-enforce-cloudarmor-backendconfig	Menerapkan konfigurasi Cloud Armor pada resource `BackendConfig`.	6.5, 6.6	Standar
pci-dss-v3.2.1-restrict-rbac-subjects	Membatasi penggunaan nama dalam subjek RBAC ke nilai yang diizinkan.	8.1, 8.1.5	Diperpanjang
pci-dss-v3.2.1-block-secrets-of-type-basic-auth	Membatasi penggunaan secret jenis autentikasi dasar.	8.1.5, 8.2.3, 8.5	Standar
pci-dss-v3.2.1-nodes-have-consistent-time	Memastikan waktu yang konsisten dan benar di Node dengan memastikan penggunaan COS sebagai image OS.	10.4.1, 10.4.3	Standar

Batasan paket Standar vs. Diperluas

Paket PCI-DSS v3.2.1 menerapkan serangkaian persyaratan kebijakan yang kuat untuk mencapai beberapa aspek kontrol PCI-DSS v3.2.1. Selain modifikasi pada workload Anda agar sesuai dengan persyaratan paket Standar, tersedia juga serangkaian batasan tambahan opsional yang memerlukan penyesuaian untuk lingkungan Anda.

Sebelum memulai

Instal dan lakukan inisialisasi Google Cloud CLI, yang menyediakan perintah gcloud dan kubectl yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah terinstal sebelumnya.
Instal Pengontrol Kebijakan v1.14.3 atau yang lebih tinggi di cluster Anda dengan library template batasan default. Anda juga harus mengaktifkan dukungan untuk batasan referensial karena paket ini berisi batasan referensial.

Mengonfigurasi Policy Controller untuk batasan referensial

Simpan manifes YAML berikut ke file sebagai policycontroller-config.yaml. Manifes mengonfigurasi Policy Controller untuk memantau jenis objek tertentu.

apiVersion: config.gatekeeper.sh/v1alpha1
kind: Config
metadata:
  name: config
  namespace: "gatekeeper-system"
spec:
  sync:
    syncOnly:
      - group: "apps"
        version: "v1"
        kind: "DaemonSet"
      - group: "networking.k8s.io"
        version: "v1"
        kind: "NetworkPolicy"

Terapkan manifes policycontroller-config.yaml:

kubectl apply -f policycontroller-config.yaml

Mengonfigurasi workload cluster Anda untuk PCI-DSS v3.2.1

Paket Standar

Semua aplikasi (ReplicaSet, Deployment, StatefulSet, dan DaemonSet) harus menyertakan pci-dss-firewall-audit label dengan skema pci-dss-[0-9]{4}q[1-4].
Semua aplikasi (ReplicaSet, Deployment, StatefulSet, DaemonSet) harus menyertakan anotasi network-controls/date dengan skema YYYY-MM-DD.
Setiap namespace yang ditentukan dalam cluster harus memiliki NetworkPolicy.
Penggunaan Config Sync untuk configmanagement.gke.io diperlukan secara default, tetapi nilai app.kubernetes.io/managed-by yang diizinkan dapat disesuaikan dalam batasan pci-dss-v3.2.1-enforce-managed-by-configmanagement-label.
Resource tidak dapat dibuat menggunakan akun layanan default.
namespace default tidak dapat digunakan untuk pod.
Jika menggunakan Cloud Service Mesh, PeerAuthentication ASM harus menggunakan mTLS ketat spec.mtls.mode: STRICT.
Solusi antivirus diperlukan. Defaultnya adalah keberadaan daemonset bernama clamav di pci-dss-av namespace, tetapi nama dan namespace daemonset dapat disesuaikan dengan penerapan Anda dalam batasan pci-dss-v3.2.1-require-av-daemonset.
Keberadaan dan pengaktifan Config Sync diperlukan.
Semua BackendConfig harus dikonfigurasi untuk CloudArmor.
Penggunaan secret jenis basic-auth tidak diizinkan.
Semua node harus menggunakan Container-Optimized OS Google untuk image-nya agar waktu tetap konsisten.

Paket Lengkap (opsional dengan penyesuaian yang diperlukan)

Setiap namespace yang ditentukan dalam cluster memiliki NetworkPolicy tolak default untuk egress, pengecualian yang diizinkan dapat ditentukan dalam pci-dss-v3.2.1-require-namespace-network-policies.
Hanya objek Ingress yang diizinkan (jenis Ingress, Gateway, dan Service dari NodePort dan LoadBalancer) yang dapat dibuat, dan objek ini dapat ditentukan dalam pci-dss-v3.2.1-block-all-ingress.
Hanya rentang IP yang diizinkan yang dapat digunakan untuk Ingress dan Express, yang dapat ditentukan dalam pci-dss-v3.2.1-require-valid-network-ranges.
Hanya subjek yang diizinkan yang dapat digunakan dalam binding RBAC, nama domain Anda dapat ditentukan dalam pci-dss-v3.2.1-restrict-rbac-subjects.

Mengaudit paket kebijakan PCI-DSS v3.2.1

Dengan Pengontrol Kebijakan, Anda dapat menerapkan kebijakan untuk cluster Kubernetes Anda. Untuk membantu menguji workload dan kepatuhannya terhadap kebijakan PCI-DSS v3.2.1 yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkapkan pelanggaran dan yang lebih penting, memberi Anda kesempatan untuk memperbaikinya sebelum diterapkan di cluster Kubernetes Anda.

Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction ditetapkan ke dryrun menggunakan kubectl, kpt, atau Config Sync.

kubectl

(Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:

kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1

Terapkan batasan kebijakan dengan kubectl:

kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1

Outputnya adalah sebagai berikut:

asmpeerauthnstrictmtls.constraints.gatekeeper.sh/pci-dss-v3.2.1-asm-peer-authn-strict-mtls created
k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/pci-dss-v3.2.1-block-creation-with-default-serviceaccount created
k8sblockobjectsoftype.constraints.gatekeeper.sh/pci-dss-v3.2.1-block-secrets-of-type-basic-auth created
k8senforcecloudarmorbackendconfig.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-cloudarmor-backendconfig created
k8senforceconfigmanagement.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-config-management created
k8srequirecosnodeimage.constraints.gatekeeper.sh/pci-dss-v3.2.1-nodes-have-consistent-time created
k8srequiredaemonsets.constraints.gatekeeper.sh/pci-dss-v3.2.1-require-av-daemonset created
k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/pci-dss-v3.2.1-require-namespace-network-policies created
k8srequiredannotations.constraints.gatekeeper.sh/pci-dss-v3.2.1-apps-must-have-certain-set-of-annotations created
k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-managed-by-configmanagement-label created
k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v3.2.1-resources-have-required-labels created
k8srestrictnamespaces.constraints.gatekeeper.sh/pci-dss-v3.2.1-restrict-default-namespace created

Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:

kubectl get -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1

Outputnya mirip dengan hal berikut ini:

NAME                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
asmpeerauthnstrictmtls.constraints.gatekeeper.sh/pci-dss-v3.2.1-asm-peer-authn-strict-mtls   dryrun               0

NAME                                                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sblockcreationwithdefaultserviceaccount.constraints.gatekeeper.sh/pci-dss-v3.2.1-block-creation-with-default-serviceaccount   dryrun               0

NAME                                                                                              ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8sblockobjectsoftype.constraints.gatekeeper.sh/pci-dss-v3.2.1-block-secrets-of-type-basic-auth   dryrun               0

NAME                                                                                                          ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8senforcecloudarmorbackendconfig.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-cloudarmor-backendconfig   dryrun               0

NAME                                                                                            ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8senforceconfigmanagement.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-config-management   dryrun               0

NAME                                                                                         ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequirecosnodeimage.constraints.gatekeeper.sh/pci-dss-v3.2.1-nodes-have-consistent-time   dryrun               0

NAME                                                                                 ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequiredaemonsets.constraints.gatekeeper.sh/pci-dss-v3.2.1-require-av-daemonset   dryrun               0

NAME                                                                                                             ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequirenamespacenetworkpolicies.constraints.gatekeeper.sh/pci-dss-v3.2.1-require-namespace-network-policies   dryrun               0

NAME                                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequiredannotations.constraints.gatekeeper.sh/pci-dss-v3.2.1-apps-must-have-certain-set-of-annotations   dryrun               0

NAME                                                                                                   ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v3.2.1-enforce-managed-by-configmanagement-label   dryrun               0
k8srequiredlabels.constraints.gatekeeper.sh/pci-dss-v3.2.1-resources-have-required-labels              dryrun               0

NAME                                                                                        ENFORCEMENT-ACTION   TOTAL-VIOLATIONS
k8srestrictnamespaces.constraints.gatekeeper.sh/pci-dss-v3.2.1-restrict-default-namespace   dryrun               0

kpt

Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Download paket kebijakan PCI-DSS v3.2.1 dari GitHub menggunakan kpt:

kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1

Jalankan fungsi KPT set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

kpt fn eval pci-dss-v3.2.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \
  -- enforcementAction=dryrun

Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:
```
cd pci-dss-v3.2.1
kpt live init
```
Terapkan batasan kebijakan dengan kpt:
```
kpt live apply
```
Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:
```
kpt live status --output table --poll-until current
```
Status CURRENT mengonfirmasi keberhasilan penginstalan batasan.

Config Sync

Instal dan siapkan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

Ubah ke direktori sinkronisasi untuk Config Sync:
```
cd SYNC_ROOT_DIR
```
Catatan: Kpt v1.0.0-beta.17 dan yang lebih baru otomatis membuat file resourcegroup.yaml selama live init yang tidak boleh diperiksa ke dalam repositori Config Sync Anda. Jika belum ada, tambahkan resourcegroup.yaml ke file .gitignore repo Anda.

Untuk membuat atau menambahkan .gitignore dengan resourcegroup.yaml:
```
echo resourcegroup.yaml >> .gitignore
```
Buat direktori policies khusus:
```
mkdir -p policies
```

Download paket kebijakan PCI-DSS v3.2.1 dari GitHub menggunakan kpt:

kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pci-dss-v3.2.1 policies/pci-dss-v3.2.1

Jalankan fungsi KPT set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke dryrun:

kpt fn eval policies/pci-dss-v3.2.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun

(Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:

kpt live init policies/pci-dss-v3.2.1
kpt live apply --dry-run policies/pci-dss-v3.2.1

Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Kustomize, tambahkan policies/pci-dss-v3.2.1 ke kustomization.yaml root Anda. Jika tidak, hapus file policies/pci-dss-v3.2.1/kustomization.yaml:
```
rm SYNC_ROOT_DIR/policies/pci-dss-v3.2.1/kustomization.yaml
```

Kirim perubahan ke repositori Config Sync:

git add SYNC_ROOT_DIR/policies/pci-dss-v3.2.1
git commit -m 'Adding PCI-DSS v3.2.1 policy audit enforcement'
git push

Verifikasi status penginstalan:

watch gcloud beta container fleet config-management status --project PROJECT_ID

Status SYNCED mengonfirmasi penginstalan kebijakan.

Melihat pelanggaran kebijakan

Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Policy Controller.

Anda juga dapat menggunakan kubectl untuk melihat pelanggaran pada cluster menggunakan perintah berikut:

kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'

Jika ada pelanggaran, daftar pesan pelanggaran per batasan dapat dilihat dengan:

kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'

Mengubah tindakan penerapan paket kebijakan PCI-DSS v3.2.1

Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan untuk mengubah mode penerapan sehingga Pengontrol Penerimaan akan warn diaktifkan atau bahkan deny memblokir penerapan resource yang tidak mematuhi kebijakan ke cluster.

kubectl

Gunakan kubectl untuk menyetel tindakan penerapan kebijakan ke warn:

kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'

Pastikan tindakan penerapan batasan kebijakan telah diperbarui:

kubectl get constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1

kpt

Jalankan fungsi KPT set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:
```
kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
```
Terapkan batasan kebijakan:
```
kpt live apply
```

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

Ubah ke direktori sinkronisasi untuk Config Sync:
```
cd SYNC_ROOT_DIR
```

Jalankan fungsi KPT set-enforcement-action untuk menetapkan tindakan penerapan kebijakan ke warn:

kpt fn eval policies/pci-dss-v3.2.1 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn

Kirim perubahan ke repositori Config Sync:

git add SYNC_ROOT_DIR/policies/pci-dss-v3.2.1
git commit -m 'Adding PCI-DSS v3.2.1 policy bundle warn enforcement'
git push

Verifikasi status penginstalan:
```
nomos status
```
Cluster akan menampilkan status SYNCED dengan kebijakan yang diinstal.

Menguji penegakan kebijakan

Buat resource yang tidak sesuai di cluster menggunakan perintah berikut:

cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
  namespace: default
  name: wp-non-compliant
  labels:
    app: wordpress
spec:
  containers:
    - image: wordpress
      name: wordpress
      ports:
      - containerPort: 80
        name: wordpress
EOF

Pengontrol penerimaan harus menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilakukan oleh resource ini, seperti yang ditunjukkan dalam contoh berikut:

Warning: [pci-dss-v3.2.1-restrict-default-namespace] <default> namespace is restricted
pod/wp-non-compliant created

Menghapus paket kebijakan PCI-DSS v3.2.1

Jika perlu, paket kebijakan PCI-DSS v3.2.1 dapat dihapus dari cluster.

kubectl

Gunakan kubectl untuk menghapus kebijakan:

kubectl delete constraint -l policycontroller.gke.io/bundleName=pci-dss-v3.2.1

kpt

Hapus kebijakan:
```
kpt live destroy
```

Config Sync

Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:

Kirim perubahan ke repositori Config Sync:

git rm -r SYNC_ROOT_DIR/policies/pci-dss-v3.2.1
git commit -m 'Removing PCI-DSS v3.2.1 policies'
git push

Verifikasi status:
```
nomos status
```
Cluster akan menampilkan status SYNCED dengan resource yang dihapus.

Menggunakan batasan kebijakan PCI-DSS v3.2.1 Tetap teratur dengan koleksi Simpan dan kategorikan konten berdasarkan preferensi Anda.

Batasan paket kebijakan PCI-DSS v3.2.1

Batasan paket Standar vs. Diperluas

Sebelum memulai

Mengonfigurasi Policy Controller untuk batasan referensial

Mengonfigurasi workload cluster Anda untuk PCI-DSS v3.2.1

Paket Standar

Paket Lengkap (opsional dengan penyesuaian yang diperlukan)

Mengaudit paket kebijakan PCI-DSS v3.2.1

kubectl

kpt

Config Sync

Melihat pelanggaran kebijakan

Mengubah tindakan penerapan paket kebijakan PCI-DSS v3.2.1

kubectl

kpt

Config Sync

Menguji penegakan kebijakan

Menghapus paket kebijakan PCI-DSS v3.2.1

kubectl

kpt

Config Sync

Menggunakan batasan kebijakan PCI-DSS v3.2.1