Esegui il deployment di un'app in GKE e visualizza gli insight sulla sicurezza

prepara l'ambiente

1. Imposta l'ID progetto come variabile di ambiente:

   export PROJECT_ID=$(gcloud config get project)
   

2. Imposta la regione Google Cloud predefinita per Cloud Deploy:

   gcloud config set deploy/region us-central1
   

3. Clona il repository GitHub contenente il codice campione per questa attività:

   git clone https://github.com/googlecloudplatform/software-delivery-shield-demo-java.git
   cd ~/software-delivery-shield-demo-java/backend
   

4. Crea un account di servizio IAM per il tuo GKE

   cluster da utilizzare:

   gcloud iam service-accounts create sds-runtime \
       --display-name="Security insights with GKE service account"
   

5. Concedi le autorizzazioni all'account di servizio IAM:

   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com \
       --role="roles/container.nodeServiceAccount"
   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com \
       --role="roles/clouddeploy.jobRunner"
   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com \
       --role="roles/container.developer"
   gcloud projects add-iam-policy-binding $PROJECT_ID \
       --member=serviceAccount:sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com \
       --role="roles/artifactregistry.reader"
   

6. Concedi all'account di servizio Compute Engine predefinito l'accesso ai cluster GKE. Cloud Deploy utilizza questo accesso per eseguire il deployment delle app nei cluster della pipeline di distribuzione.

   PROJECT_NUMBER="$(gcloud projects describe ${PROJECT_ID} --format='get(projectNumber)')"
   gcloud projects add-iam-policy-binding ${PROJECT_NUMBER} \
       --member=serviceAccount:${PROJECT_NUMBER}-compute@developer.gserviceaccount.com \
       --role=roles/container.developer
   

Crea il repository Artifact Registry per l'immagine

1. Crea il repository:

   gcloud artifacts repositories create containers \
       --repository-format=docker \
       --location=us-central1 \
       --description="Security insights with GKE repository"
   

2. Verifica che il repository esista:

   gcloud artifacts repositories list \
       --location=us-central1 \
       --filter="REPOSITORY:containers"
   

   L'output mostra il repository containers che hai creato.

Crea i cluster GKE

Crea due cluster GKE, un cluster di staging denominato dev-cluster e un cluster di produzione denominato prod-cluster. In Autopilot, l'analisi delle vulnerabilità dei workload viene attivata automaticamente per i nuovi cluster che eseguono la versione 1.27 e successive. Se utilizzi un cluster standard, specifica il flag --workload-vulnerability-scanning=standard.

gcloud container clusters create-auto dev-cluster \
    --region=us-central1 \
    --release-channel=rapid \
    --service-account=sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com
gcloud container clusters create-auto prod-cluster \
    --region=us-central1 \
    --release-channel=rapid \
    --service-account=sds-runtime@${PROJECT_ID}.iam.gserviceaccount.com

La creazione del cluster può richiedere fino a cinque minuti. Puoi anche abilitare l'analisi delle vulnerabilità dei carichi di lavoro aggiornando i cluster GKE esistenti.

Crea l'immagine

Crea e invia l'immagine utilizzando Cloud Build:

gcloud builds submit --region us-central1 --config cloudbuild.yaml

Al termine della compilazione, l'output è simile al seguente:

DONE
-----------------------------------------------------------------------------
ID: 3e23094f-7f57-4449-bc68-51c37hn34d03
CREATE_TIME: 2022-09-19T15:41:07+00:00
DURATION: 54S
SOURCE: gs://my-project_cloudbuild/source/1663602066.777581-6ebe4b2d6fd741ffa18936d7f.tgz
IMAGES: us-central1-docker.pkg.dev/PROJECT_ID/containers/java-guestbook-backend:quickstart
STATUS: SUCCESS

Esegui il deployment dell'immagine in GKE utilizzando Cloud Deploy

1. Aggiorna il file di configurazione di Cloud Deploy con il tuo ID progetto:

   sed -i "s/PROJECT_ID/${PROJECT_ID}/g" clouddeploy.yaml
   

2. Registra la pipeline e i target:

   gcloud deploy apply --file=clouddeploy.yaml
   

3. Per verificare che la pipeline esista, vai alla pagina Pipeline di distribuzione nella console Google Cloud:

   Vai alle pipeline di pubblicazione

   Nell'elenco delle pipeline viene visualizzata la nuova pipeline guestbook-app-delivery.

4. Fai clic sul nome della pipeline per monitorare l'avanzamento. Viene visualizzata la pagina Dettagli sulla pipeline di caricamento.

5. Crea una nuova release in Cloud Deploy:

   gcloud deploy releases create guestbook-release-001 \
       --delivery-pipeline=guestbook-app-delivery \
       --images=java-guestbook-backend=us-central1-docker.pkg.dev/${PROJECT_ID}/containers/java-guestbook-backend:quickstart
   

   La nuova release viene visualizzata nella sezione Uscite della pagina Dettagli sulla pipeline di caricamento.

6. Nella pagina Dettagli pipeline di distribuzione, monitora la visualizzazione Visualizzazione della pipeline finché non viene visualizzato il pulsante Promuovi per dev-cluster. Potresti dover aggiornare la pagina.

7. Fai clic su Promuovi nella visualizzazione dev-cluster.

8. Nel riquadro Promuovi release, fai clic su Promuovi per confermare la promozione al cluster di produzione.

9. Per verificare che la release sia andata a buon fine, controlla la sezione Release. Nella colonna Stato ultimo lancio viene visualizzato Successfully deployed to prod-cluster.

Visualizza vulnerabilità

In questa sezione, puoi visualizzare gli approfondimenti sulle vulnerabilità del sistema operativo utilizzando la dashboard relativa alla posizione di sicurezza. La dashboard mostra informazioni sulle vulnerabilità dei carichi di lavoro in esecuzione dopo il loro deployment nei cluster.

1. Vai alla pagina Postura di sicurezza GKE nella console Google Cloud.

   Vai alla strategia di sicurezza di GKE

2. Per visualizzare i risultati della ricerca, aggiorna la pagina. Il completamento della scansione iniziale potrebbe richiedere fino a 15 minuti.

3. Nella pagina Postura di sicurezza di GKE, esamina la sezione Vulnerabilità del sistema operativo del carico di lavoro. Questa sezione elenca le principali vulnerabilità CVE che interessano il tuo carico di lavoro di cui è stato eseguito il deployment.

4. Per maggiori dettagli, fai clic su Visualizza tutti i problemi di vulnerabilità. Viene visualizzata la scheda Problemi e viene applicato un filtro per il tipo di problema Vulnerabilità. La tabella mostra una panoramica di ogni vulnerabilità e del relativo impatto.

5. Per informazioni dettagliate su una vulnerabilità specifica, fai clic sul nome del problema nella tabella. Si apre il riquadro Vulnerabilità. In questo riquadro puoi:

   • Leggi una descrizione dettagliata del CVE, incluse le versioni e i pacchetti interessati e il punteggio CVSS.
   • Visualizza le azioni consigliate per attenuare il problema, ad esempio la documentazione e le informazioni sulle versioni delle patch.
   • Visualizza i carichi di lavoro specifici interessati dalla vulnerabilità nella scheda Workload interessati.