Implementa una app en GKE y visualiza estadísticas de seguridad

Prepare el entorno

1. Configura el ID del proyecto como una variable de entorno:

   export PROJECT_ID=$(gcloud config get project)
   

2. Configura la región predeterminada de Google Cloud para Cloud Deploy:

   gcloud config set deploy/region us-central1
   

3. Clona el repositorio de GitHub que contiene el código de muestra para esta tarea:

   git clone https://github.com/googlecloudplatform/software-delivery-shield-demo-java.git
   cd ~/software-delivery-shield-demo-java/backend
   

4. Crea una cuenta de servicio de IAM para GKE

   clústeres usar:

   gcloud iam service-accounts create sds-runtime \
       --display-name="SDS with GKE service account"
   

5. Otorga permisos a la cuenta de servicio de IAM:

   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com \
       --role="roles/container.nodeServiceAccount"
   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com \
       --role="roles/clouddeploy.jobRunner"
   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com \
       --role="roles/container.developer"
   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com \
       --role="roles/artifactregistry.reader"
   

6. Otorga a la cuenta de servicio predeterminada de Compute Engine acceso a clústeres de GKE. Cloud Deploy usa este acceso para implementar apps en los clústeres de tu canalización de entrega.

   PROJECT_NUMBER="$(gcloud projects describe ${PROJECT_ID} --format='get(projectNumber)')"
   gcloud projects add-iam-policy-binding ${PROJECT_NUMBER} \
       --member=serviceAccount:${PROJECT_NUMBER}-compute@developer.gserviceaccount.com \
       --role=roles/container.developer
   

Crea el repositorio de Artifact Registry para tu imagen

1. Crea el repositorio:

   gcloud artifacts repositories create containers \
       --repository-format=docker \
       --location=us-central1 \
       --description="SDS with GKE repository"
   

2. Verifica que el repositorio exista:

   gcloud artifacts repositories list \
       --location=us-central1 \
       --filter="REPOSITORY:containers"
   

   El resultado muestra el repositorio containers que creaste.

Crea los clústeres de GKE

Crea dos clústeres de GKE, un clúster de etapa de pruebas llamado dev-cluster. y un clúster de producción llamado prod-cluster. En Autopilot, el análisis de vulnerabilidades de las cargas de trabajo se habilita automáticamente para los clústeres nuevos en ejecución versión 1.27 y posteriores. Si usas una campaña del clúster, especifica la marca --workload-vulnerability-scanning=standard.

gcloud container clusters create-auto dev-cluster \
    --region=us-central1 \
    --release-channel=rapid \
    --service-account=sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com
gcloud container clusters create-auto prod-cluster \
    --region=us-central1 \
    --release-channel=rapid \
    --service-account=sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com

La creación del clúster puede tardar hasta cinco minutos en completarse. También puedes habilitar el análisis de vulnerabilidades de las cargas de trabajo mediante la actualización de los clústeres de GKE existentes.

Compila la imagen

Compila y envía la imagen con Cloud Build:

gcloud builds submit --region us-central1 --config cloudbuild.yaml

Cuando se completa la compilación, el resultado es similar al siguiente:

DONE
-----------------------------------------------------------------------------
ID: 3e23094f-7f57-4449-bc68-51c37hn34d03
CREATE_TIME: 2022-09-19T15:41:07+00:00
DURATION: 54S
SOURCE: gs://my-project_cloudbuild/source/1663602066.777581-6ebe4b2d6fd741ffa18936d7f.tgz
IMAGES: us-central1-docker.pkg.dev/PROJECT_ID/containers/java-guestbook-backend:quickstart
STATUS: SUCCESS

Implementa la imagen en GKE con Cloud Deploy

1. Actualiza el archivo de configuración de Cloud Deploy con tu ID del proyecto:

   sed -i "s/PROJECT_ID/${PROJECT_ID}/g" clouddeploy.yaml
   

2. Registra la canalización y los destinos:

   gcloud deploy apply --file=clouddeploy.yaml
   

3. Para verificar que tu canalización exista, ve a la página Canalizaciones de entrega. en la consola de Google Cloud:

   Ir en las canalizaciones de entrega.

   La lista de canalizaciones muestra tu nueva canalización, guestbook-app-delivery.

4. Haz clic en el nombre de la canalización para supervisar el progreso. La canalización de entrega detalles.

5. Crea una versión nueva en Cloud Deploy:

   gcloud deploy releases create guestbook-release-001 \
       --delivery-pipeline=guestbook-app-delivery \
       --images=java-guestbook-backend=us-central1-docker.pkg.dev/${PROJECT_ID}/containers/java-guestbook-backend:quickstart
   

   El nuevo lanzamiento aparecerá en la sección Lanzamientos de la página Publicación detalles de la canalización.

6. En la página Detalles de la canalización de entrega, supervisa la Canalización visualización hasta que aparezca el botón Promover para dev-cluster Es posible que debas actualizar la página.

7. Haz clic en Promote (Ascender) en la visualización dev-cluster.

8. En el panel Promover versión, haz clic en Ascender para confirmar la promoción. a tu clúster de producción.

9. Para verificar si tu versión se realizó correctamente, consulta la sección Versiones. En la columna Last rollout status, se muestra Successfully deployed to prod-cluster.

Ver vulnerabilidades

En esta sección, podrás ver las estadísticas de vulnerabilidades del SO con la de seguridad en la nube. En el panel, se muestra información sobre en tus cargas de trabajo en ejecución después de implementarlas en tu entre los clústeres de Kubernetes.

1. Ve a la página Postura de seguridad de GKE en la consola de Google Cloud.

   Ir a Postura de seguridad de GKE

2. Actualiza la página para ver los resultados del análisis. El análisis inicial puede tardar hasta Tardará 15 minutos en completarse.

3. En la página Postura de seguridad de GKE, revisa la Sección Vulnerabilidad del SO de las cargas de trabajo. En esta sección, se enumeran las CVE principales que afectan la carga de trabajo implementada.

4. Para obtener más información, haz clic en Ver todos los problemas de vulnerabilidad. La pestaña Problemas se abre y aplica un filtro para el tipo de problema Vulnerabilidad. La tabla se muestra una descripción general de cada vulnerabilidad y su impacto.

5. Para obtener detalles sobre una vulnerabilidad específica, haz clic en el nombre del problema en la tabla. Se abrirá el panel Vulnerabilidad. En este panel, puedes hacer lo siguiente: lo siguiente:

   • Lee una descripción detallada de CVE, incluidas las versiones afectadas, paquetes pequeños y la puntuación de CVSS.
   • Consulta las acciones recomendadas para mitigar la preocupación, como la documentación y la información de la versión de un parche.
   • Consulta las cargas de trabajo específicas afectadas por la vulnerabilidad en la pestaña Cargas de trabajo afectadas.