Pengontrol Kebijakan dilengkapi library default template batasan yang dapat Anda gunakan dengan paket yang Dibatasi Standar Keamanan Pod. Paket ini memungkinkan Anda mendapatkan banyak perlindungan yang sama dengan kebijakan Terbatas Keamanan Pod Kubernetes (PSS), dengan kemampuan untuk menguji kebijakan Anda sebelum menerapkannya dan mengecualikan cakupan resource tertentu.
Paket ini mencakup batasan berikut yang dipetakan ke kontrol kebijakan Terbatas Keamanan Pod Kubernetes (PSS) berikut:
Nama Batasan | Deskripsi Batasan | Nama Kontrol |
---|---|---|
pss-restricted-v2022-psp-volume-types | Penggunaan jenis volume | Jenis Volume |
pss-restricted-v2022-privilege-escalation | Membatasi eskalasi ke hak istimewa root | Eskalasi Akses |
pss-restricted-v2022-running-as-non-root | Nilai runAsNonRoot penampung |
Berjalan sebagai Non-root |
pss-restricted-v2022-running-as-non-root-user | ID pengguna penampung | Berjalan sebagai pengguna Non-root |
pss-restricted-v2022-seccomp | Profil seccomp yang digunakan oleh container | Seccomp |
pss-restricted-v2022-capabilities | Kemampuan Linux | Kemampuan |
Sebelum memulai
- Instal dan inisialisasi Google Cloud CLI, yang menyediakan perintah
gcloud
dankubectl
yang digunakan dalam petunjuk ini. Jika Anda menggunakan Cloud Shell, Google Cloud CLI sudah diinstal sebelumnya. - Instal Pengontrol Kebijakan v1.11.1 atau yang lebih baru di cluster Anda dengan library default template batasan.
Mengaudit paket kebijakan Standar Keamanan Pod yang Dibatasi
Dengan Pengontrol Kebijakan, Anda dapat menerapkan kebijakan untuk cluster Kubernetes Anda. Untuk membantu menguji beban kerja Anda dan kepatuhannya terhadap praktik terbaik yang direkomendasikan Google yang diuraikan dalam tabel sebelumnya, Anda dapat men-deploy batasan ini dalam mode "audit" untuk mengungkap pelanggaran dan yang lebih penting, memberi Anda kesempatan untuk memperbaikinya sebelum menerapkannya ke cluster Kubernetes Anda.
Anda dapat menerapkan kebijakan ini dengan spec.enforcementAction
yang ditetapkan ke dryrun
menggunakan kubectl,
kpt,
atau
Config Sync.
kubectl
(Opsional) Lihat pratinjau batasan kebijakan dengan kubectl:
kubectl kustomize https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pss-restricted-v2022
Terapkan batasan kebijakan dengan kubectl:
kubectl apply -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pss-restricted-v2022
Output-nya adalah sebagai berikut:
k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/pss-restricted-v2022-privilege-escalation created k8spspallowedusers.constraints.gatekeeper.sh/pss-restricted-v2022-running-as-non-root created k8spspcapabilities.constraints.gatekeeper.sh/pss-restricted-v2022-capabilities created k8spspseccomp.constraints.gatekeeper.sh/pss-restricted-v2022-seccomp created k8spspvolumetypes.constraints.gatekeeper.sh/pss-restricted-v2022-psp-volume-types created
Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:
kubectl get -k https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pss-restricted-v2022
Outputnya mirip dengan hal berikut ini:
NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspallowprivilegeescalationcontainer.constraints.gatekeeper.sh/pss-restricted-v2022-privilege-escalation dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspallowedusers.constraints.gatekeeper.sh/pss-restricted-v2022-running-as-non-root dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspcapabilities.constraints.gatekeeper.sh/pss-restricted-v2022-capabilities dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspseccomp.constraints.gatekeeper.sh/pss-restricted-v2022-seccomp dryrun 0 NAME ENFORCEMENT-ACTION TOTAL-VIOLATIONS k8spspvolumetypes.constraints.gatekeeper.sh/pss-restricted-v2022-psp-volume-types dryrun 0
kpt
Penginstalan dan penyiapan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.
Download paket kebijakan Pod Security Standards (PSS) Restricted v2022 dari GitHub menggunakan kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pss-restricted-v2022
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kedryrun
:kpt fn eval pss-restricted-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 \ -- enforcementAction=dryrun
Lakukan inisialisasi direktori kerja dengan kpt, yang membuat resource untuk melacak perubahan:
cd pss-restricted-v2022 kpt live init
Terapkan batasan kebijakan dengan kpt:
kpt live apply
Pastikan batasan kebijakan telah diinstal dan periksa apakah ada pelanggaran di seluruh cluster:
kpt live status --output table --poll-until current
Status
CURRENT
mengonfirmasi penginstalan batasan yang berhasil.
Config Sync
- Penginstalan dan penyiapan kpt. kpt digunakan dalam petunjuk ini untuk menyesuaikan dan men-deploy resource Kubernetes.
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Ubah ke direktori sinkronisasi untuk Config Sync:
cd SYNC_ROOT_DIR
Untuk membuat atau menambahkan
.gitignore
denganresourcegroup.yaml
:echo resourcegroup.yaml >> .gitignore
Buat direktori
policies
khusus:mkdir -p policies
Download paket kebijakan Pod Security Standards (PSS) Restricted v2022 dari GitHub menggunakan kpt:
kpt pkg get https://github.com/GoogleCloudPlatform/gke-policy-library.git/anthos-bundles/pss-restricted-v2022 policies/pss-restricted-v2022
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kedryrun
:kpt fn eval policies/pss-restricted-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=dryrun
(Opsional) Lihat pratinjau batasan kebijakan yang akan dibuat:
kpt live init policies/pss-restricted-v2022 kpt live apply --dry-run policies/pss-restricted-v2022
Jika direktori sinkronisasi Anda untuk Config Sync menggunakan Kustomize, tambahkan
policies/pss-baseline-v2022
kekustomization.yaml
root Anda. Jika tidak, hapus filepolicies/pss-baseline-v2022/kustomization.yaml
:rm SYNC_ROOT_DIR/policies/pss-baseline-v2022/kustomization.yaml
Kirim perubahan ke repo Config Sync:
git add SYNC_ROOT_DIR/policies/pss-restricted-v2022 git commit -m 'Adding Pod Security Standards Restricted audit enforcement' git push
Verifikasi status penginstalan:
watch gcloud beta container fleet config-management status --project PROJECT_ID
Status
SYNCED
mengonfirmasi penginstalan kebijakan.
Lihat pelanggaran kebijakan
Setelah batasan kebijakan diinstal dalam mode audit, pelanggaran pada cluster dapat dilihat di UI menggunakan Dasbor Pengontrol Kebijakan.
Anda juga dapat menggunakan kubectl
untuk melihat pelanggaran di cluster menggunakan perintah berikut:
kubectl get constraint -l policycontroller.gke.io/bundleName=pss-restricted-v2022 -o json | jq -cC '.items[]| [.metadata.name,.status.totalViolations]'
Jika ada pelanggaran, listingan pesan pelanggaran per batasan dapat dilihat dengan:
kubectl get constraint -l policycontroller.gke.io/bundleName=pss-restricted-v2022 -o json | jq -C '.items[]| select(.status.totalViolations>0)| [.metadata.name,.status.violations[]?]'
Mengubah tindakan penerapan paket kebijakan yang dibatasi Standar Keamanan Pod
Setelah meninjau pelanggaran kebijakan di cluster, Anda dapat mempertimbangkan
untuk mengubah mode penerapan sehingga Pengontrol Pendaftaran akan warn
aktif
atau bahkan deny
memblokir resource yang tidak mematuhi kebijakan agar tidak diterapkan ke cluster.
kubectl
Gunakan kubectl untuk menetapkan tindakan penerapan kebijakan ke
warn
:kubectl get constraint -l policycontroller.gke.io/bundleName=pss-restricted-v2022 -o name | xargs -I {} kubectl patch {} --type='json' -p='[{"op":"replace","path":"/spec/enforcementAction","value":"warn"}]'
Pastikan tindakan penerapan batasan kebijakan telah diperbarui:
kubectl get constraint -l policycontroller.gke.io/bundleName=pss-restricted-v2022
kpt
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kewarn
:kpt fn eval -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Terapkan batasan kebijakan:
kpt live apply
Config Sync
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Ubah ke direktori sinkronisasi untuk Config Sync:
cd SYNC_ROOT_DIR
Jalankan fungsi
set-enforcement-action
kpt untuk menetapkan tindakan penegakan kebijakan kewarn
:kpt fn eval policies/pss-restricted-v2022 -i gcr.io/kpt-fn/set-enforcement-action:v0.1 -- enforcementAction=warn
Kirim perubahan ke repo Config Sync:
git add SYNC_ROOT_DIR/pss-restricted-v2022 git commit -m 'Adding Pod Security Standards Restricted policy bundle warn enforcement' git push
Verifikasi status penginstalan:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Repositori Anda yang muncul di kolom
SYNCED
mengonfirmasi penginstalan kebijakan.
Menguji penegakan kebijakan
Buat resource yang tidak mematuhi kebijakan di cluster menggunakan perintah berikut:
cat <<EOF | kubectl apply -f -
apiVersion: v1
kind: Pod
metadata:
namespace: default
name: wp-non-compliant
labels:
app: wordpress
spec:
containers:
- image: wordpress
name: wordpress
ports:
- containerPort: 80
hostPort: 80
name: wordpress
EOF
Pengontrol penerimaan harus menghasilkan peringatan yang mencantumkan pelanggaran kebijakan yang dilanggar oleh resource ini, seperti ditunjukkan dalam contoh berikut:
Warning: [pss-baseline-v2022-host-ports] The specified hostNetwork and hostPort are not allowed, pod: wp-non-compliant. Allowed values: {"max": 0, "min": 0} pod/wp-non-compliant created
Menghapus paket kebijakan Standar Keamanan Pod yang Dibatasi
Jika diperlukan, paket kebijakan Standar Keamanan Pod yang Dibatasi dapat dihapus dari cluster.
kubectl
Gunakan kubectl untuk menghapus kebijakan:
kubectl delete constraint -l policycontroller.gke.io/bundleName=pss-restricted-v2022
kpt
Hapus kebijakan:
kpt live destroy
Config Sync
Operator yang menggunakan Config Sync untuk men-deploy kebijakan ke cluster mereka dapat menggunakan petunjuk berikut:
Kirim perubahan ke repo Config Sync:
git rm -r SYNC_ROOT_DIR/policies/pss-restricted-v2022 git commit -m 'Removing Pod Security Standards Restricted policies' git push
Verifikasi statusnya:
gcloud alpha anthos config sync repo list --project PROJECT_ID
Repositori Anda yang muncul di kolom
SYNCED
mengonfirmasi penghapusan kebijakan.