שילוב GKE עם Google SecOps

במאמר הזה נסביר איך להגדיר ולשלב את Google Kubernetes Engine ‏ (GKE) עם Google Security Operations.

תרחישים לדוגמה

השילוב של GKE משתמש ביכולות של Google SecOps כדי לתמוך בתרחישי השימוש הבאים:

  • מלאי של אשכולות: אחזור אוטומטי של רשימת כל אשכולות GKE במיקום שצוין. כך צוותי האבטחה יכולים לשמור על מלאי עדכני של תשתית Kubernetes שלהם.

  • שינוי גודל אוטומטי דינמי: שינוי אוטומטי של גודל מאגרי הצמתים בתגובה לאירועי אבטחה או להתראות תפעוליות, כדי להבטיח ביצועים אופטימליים.

  • בידוד מבוסס-תוויות: החלת תוויות באופן אוטומטי על אשכולות GKE על סמך מדיניות אבטחה או נהלים לתגובה לאירועים.

  • התאמת הגדרות של תוספים: הפעלה או השבתה אוטומטית של תוספים ל-GKE בהתאם לשיטות מומלצות לאבטחה. השבתה של תוספים לא מאובטחים יכולה לצמצם את שטח ההתקפה.

  • מעקב אחרי סטטוס הפעולה: מעקב אוטומטי אחרי הסטטוס של פעולות GKE שמופעלות על ידי תוכניות פעולה לאבטחה או תהליכי עבודה של תגובה לאירועים. כך אנליסטים של אבטחה יכולים לעקוב אחרי ההתקדמות של התיקון ולבדוק את הסטטוס של פעולות שמתבצעות.

לפני שמתחילים

לפני שמגדירים את השילוב של GKE ב-Google SecOps, צריך לבצע את השלבים המקדימים הבאים:

  1. יצירה והגדרה של תפקיד בהתאמה אישית לניהול זהויות והרשאות גישה.

  2. יוצרים חשבון שירות.

  3. בוחרים ומגדירים אחת משיטות האימות הבאות:

    • אפשרות 1: Workload Identity (מומלץ): בשיטה הזו נעשה שימוש באסימונים לטווח קצר באמצעות התחזות לחשבון שירות.

    • אפשרות 2: מפתח JSON של חשבון שירות: השיטה הזו מסתמכת על קובץ מפתח סודי סטטי לטווח ארוך.

יצירה והגדרה של תפקיד IAM

כדי לספק לאינטגרציה את ההרשאות הנדרשות, צריך ליצור תפקיד בהתאמה אישית בפרויקט:

  1. במסוף Google Cloud , עוברים אל Roles.

    לדף Roles

  2. לוחצים על יצירת תפקיד.

  3. מציינים שם (לדוגמה, SecOps GKE Analyst), תיאור ומזהה ייחודי.

  4. מגדירים את שלב ההשקה של התפקיד לזמינות לכלל המשתמשים.

  5. מוסיפים לתפקיד את ההרשאות הבאות:

    • container.clusters.list
    • container.clusters.update
    • container.clusters.get
    • container.operations.list
    • container.operations.get

  6. לוחצים על יצירה.

יצירה של חשבון שירות

  1. במסוף Google Cloud , נכנסים אל IAM & Admin > Service Accounts.

    לדף Service accounts

  2. לוחצים על addCreate service account (הוספהיצירת חשבון שירות).

  3. מזינים שם ותיאור ולוחצים על יצירה והמשך.

  4. בשלב Grant this service account access to project (הענקת גישה לחשבון השירות הזה לפרויקט), מקצים את תפקיד ה-IAM המותאם אישית שיצרתם.

  5. לוחצים על סיום. רושמים את כתובת האימייל של חשבון השירות.

הגדרת פרטי כניסה של Workload Identity

מומלץ להשתמש ב-Workload Identity כי הוא משתמש באסימוני גישה לטווח קצר באמצעות התחזות לחשבון שירות.

זיהוי הזהות הייחודית של המופע

כדי ליצור חיבור, צריך לתת למופע של Google SecOps הרשאה להתחזות לחשבון השירות שלכם.

  1. ב-Google SecOps, עוברים אל Content Hub > Response Integrations.

  2. בוחרים את השילוב GKE ומזינים את כתובת האימייל של חשבון השירות בשדה Workload Identity Email.

  3. לוחצים על שמירה > בדיקה. הבדיקה צפויה להיכשל.

  4. לוחצים על הכפתור close_small ליד בדיקה ומאתרים את כתובת האימייל של הזהות שמתחילה ב-gke-init-python@... או ב-soar-python@....

  5. מעתיקים את כתובת האימייל הייחודית הזו.

נותנים הרשאה לזהות המופע ב- Google Cloud

  1. במסוף Google Cloud , נכנסים אל IAM & Admin > Service Accounts.

    לדף Service accounts

  2. בוחרים את חשבון השירות של היעד ועוברים אל הרשאות > הענקת גישה.

  3. מדביקים את כתובת האימייל הייחודית בשדה New principals ומקצים את התפקיד Service Account Token Creator (roles/iam.serviceAccountTokenCreator).

הענקת גישה לפרויקט מכסה

כדי לבצע אימות באמצעות Workload Identity, צריך Quota Project ID כדי לעקוב אחרי השימוש ב-API והחיוב.

  1. במסוף Google Cloud , נכנסים לדף IAM של הפרויקט שמשמש כפרויקט המכסות.

    כניסה לדף IAM

  2. מאתרים את חשבון השירות ולוחצים על עריכת הגורם המורשה (עריכה).

  3. לוחצים על Add another role (הוספת תפקיד נוסף) ובוחרים באפשרות Service Usage Consumer (צרכן שימוש בשירות) (roles/serviceusage.serviceUsageConsumer).

  4. לוחצים על Save.

הגדרת מפתח JSON

קבצים סטטיים של מפתחות סודיים לטווח ארוך מחייבים רוטציה ידנית. משתמשים בשיטה הזו רק אם Workload Identity לא זמין.

  1. במסוף Google Cloud , נכנסים אל IAM & Admin > Service Accounts ובוחרים את חשבון השירות.

    לדף Service accounts

  2. עוברים לכרטיסייה מפתחות ולוחצים על הוספת מפתח > יצירת מפתח חדש.

  3. בוחרים באפשרות JSON ולוחצים על Create (יצירה). קובץ ה-JSON יורד למחשב שלכם.

הגדרת פרמטרים ידנית

אם בוחרים להזין את פרטי הכניסה באופן ידני, צריך להשאיר את קובץ מפתח ה-JSON שהורד פתוח בכלי לעריכת טקסט כדי להעתיק את הערכים הנדרשים בהגדרות השילוב.

פרמטרים של שילוב

כדי ליצור קישור בין Google SecOps לבין GKE, צריך להגדיר את הפרמטרים הבאים. השילוב תומך בשלושה נתיבי אימות שונים. בוחרים אחת מהשיטות הבאות כדי לספק את פרטי הכניסה:

  • Workload Identity: משתמש ב-Workload Identity Email וב-Quota Project ID.

  • קובץ JSON של חשבון שירות: משתמש ב-Service Account Json File Content כדי לספק את קובץ המפתח כולו.

  • פרמטרים ידניים נפרדים: שימוש בשדות נפרדים שהועתקו באופן ידני ממפתח JSON.

פרמטר תיאור
API Root

חובה.

שורש ה-API של מכונת GKE.

ערך ברירת המחדל הוא https://container.googleapis.com.
Workload Identity Email

זה שינוי אופציונלי.

כתובת האימייל של הלקוח בחשבון השירות.

מגדירים את הפרמטר הזה רק אם מבצעים אימות באמצעות זהות של עומס עבודה. אם הגדרתם את האפשרות הזו, אתם צריכים לציין גם את Quota Project ID. המערכת מתעלמת מ-Service Account JSON File Content.
Service Account Json File Content

זה שינוי אופציונלי.

התוכן המלא של קובץ ה-JSON של מפתח חשבון השירות. מגדירים את הפרמטר הזה רק אם מבצעים אימות באמצעות מפתח JSON.
Project ID

זה שינוי אופציונלי.

מזהה הפרויקט לטירגוט ב-GKE.

אם לא מציינים ערך, השילוב מאחזר את המזהה מפרטי הכניסה של חשבון השירות.
Quota Project ID

זה שינוי אופציונלי.

מזהה הפרויקט שמשמש לחיוב ולשימוש ב-API.

הפרמטר הזה נדרש כשמשתמשים באימות של Workload Identity.

אם לא מציינים ערך, השילוב מאחזר את המזהה מפרטי הכניסה של חשבון השירות.
Location ID

זה שינוי אופציונלי.

מזהה המיקום שמשמש להגדרת היקף הפעולות של האשכול.

ערך ברירת המחדל הוא europe-central2-a.
Verify SSL

חובה.

אם האפשרות הזו נבחרה, האינטגרציה מאמתת את אישור ה-SSL כשהיא מתחברת לשרת Google Cloud .

ההגדרה הזו מופעלת כברירת מחדל.

פרמטרים של פרטי כניסה אישיים

מגדירים את הפרמטרים הבאים רק אם מזינים את פרטי הכניסה באופן ידני ולא משתמשים בתוכן המלא של קובץ ה-JSON או ב-Workload Identity.

פרמטר תיאור
Account Type

זה שינוי אופציונלי.

הערך שמופיע בשדה type של מפתח ה-JSON (בדרך כלל service_account).
Private Key ID

זה שינוי אופציונלי.

הערך שמופיע בשדה private_key_id של מפתח ה-JSON.
Private Key

זה שינוי אופציונלי.

הערך שמופיע בשדה private_key במפתח ה-JSON.
Client Email

זה שינוי אופציונלי.

הערך שמופיע בשדה client_email של מפתח ה-JSON.
Client ID

זה שינוי אופציונלי.

הערך שמופיע בשדה client_id במפתח ה-JSON.
Auth URI

זה שינוי אופציונלי.

הערך שמופיע בשדה auth_uri של מפתח ה-JSON.

ערך ברירת המחדל הוא https://accounts.google.com/o/oauth2/auth.
Token URI

זה שינוי אופציונלי.

הערך שמופיע בשדה token_uri במפתח ה-JSON.

ערך ברירת המחדל הוא https://oauth2.googleapis.com/token.
Auth Provider X509 URL

זה שינוי אופציונלי.

הערך שמופיע בשדה auth_provider_x509_cert_url של מפתח ה-JSON.
Client X509 URL

זה שינוי אופציונלי.

הערך שמופיע בשדה client_x509_cert_url של מפתח ה-JSON.

הוראות להגדרת שילוב ב-Google SecOps מופיעות במאמר הגדרת שילובים.

במקרה הצורך, אפשר לבצע שינויים בשלב מאוחר יותר. אחרי שמגדירים מופע של שילוב, אפשר להשתמש בו ב-playbooks. מידע נוסף על הגדרה ותמיכה במספר מופעים זמין במאמר תמיכה במספר מופעים.

פעולות

מידע נוסף על פעולות זמין במאמרים איך מגיבים לפעולות שממתינות לאישור ב-Your Workdesk ואיך מבצעים פעולה ידנית.

קבלת סטטוס פעולה

משתמשים בפעולה Get Operation Status כדי לאחזר את סטטוס הפעולה ב-GKE.

הפעולה הזו היא אסינכרונית. אם צריך, משנים את סביבת הפיתוח המשולבת (IDE) של Google SecOps לפעולה.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Get Operation Status (קבלת סטטוס הפעולה) דורשת את הפרמטרים הבאים:

פרמטר תיאור
Location

חובה.

מיקום לאחזור סטטוסי הפעולות, כמו europe-central2-a.
Operation Name

חובה.

פעולה לאחזור.
Wait for the operation to finish

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, הפעולה ממתינה לתוצאות של הפעולה.

האפשרות הזו לא מסומנת כברירת מחדל.

פלט של פעולות

הפעולה קבלת סטטוס הפעולה מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל כשמשתמשים בפעולה Get Operation Status:

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "SET_NODE_POOL_SIZE",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test/nodePools/default-pool",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
הודעות פלט

הפעולה קבלת סטטוס הפעולה יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully fetched operation details.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 הפעולה הסתיימה בהצלחה.

Provided cluster location CLUSTER_LOCATION does not exist.

Provided operation name OPERATION_NAME was not found.

Error executing action "Set Node Count". Reason: ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את פרמטרים הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה קבלת סטטוס פעולה:

שם התוצאה של הסקריפט ערך
is_success True או False

הצגת רשימה של אשכולות

אפשר להשתמש בפעולה List Clusters כדי להציג רשימה של אשכולות GKE על סמך קריטריוני החיפוש שצוינו.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה List Clusters דורשת את הפרמטרים הבאים:

פרמטר תיאור
Cluster Location

חובה.

המיקום שבו יתבצע החיפוש של קלאסטרים, למשל: europe-central2-a.
Filter Logic

זה שינוי אופציונלי.

הלוגיקה של המסנן שרוצים להחיל.

לוגיקת הסינון פועלת עם השדה cluster name.

הערכים האפשריים הם:

  • Not Specified
  • Equal
  • Contains

ערך ברירת המחדל הוא Not Specified.
Filter Value

זה שינוי אופציונלי.

הערך שבו רוצים להשתמש לסינון.

לוגיקת הסינון פועלת עם השדה cluster name.

אם מגדירים את הפרמטר Filter Logic לערך Equal, הפעולה מחפשת את Filter Value ההתאמה המדויקת בתוצאות. אם מגדירים את הפרמטר Filter Logic לערך Contains, הפעולה מחפשת תוצאות שמכילות את מחרוזת המשנה שצוינה בפרמטר הזה. אם לא מגדירים ערך, הפעולה מתעלמת מהמסנן.
Max Records To Return

זה שינוי אופציונלי.

מספר הרשומות שיוחזרו.

ערך ברירת המחדל הוא 50.

פלט של פעולות

הפעולה List Clusters מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת יש גישה
טבלת העשרה לא זמין
תוצאה בפורמט JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
טבלת קיר עם תושבת

הפעולה List Clusters יכולה להחזיר את הטבלה הבאה:

שם הטבלה: Found Clusters

עמודות בטבלה:

  • מזהה
  • שם
  • תיאור
  • Cluster Network
  • ‫Cluster IPv4 CIDR
  • תוויות
  • נקודת קצה של אשכול
  • סטטוס
  • Location
  • תחום (zone)
  • גרסת האשכול הראשונית
  • גרסת המאסטר הנוכחית
  • גרסת Node הנוכחית
  • מתי נוצר
תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל כשמשתמשים בפעולה List Clusters:

{
           "name": "cluster-test",
           "description": "Requested by user",
           "nodeConfig": {
               "machineType": "e2-micro",
               "diskSizeGb": 15,
               "oauthScopes": [
                   "https://www.googleapis.com/auth/devstorage.read_only",
                   "https://www.googleapis.com/auth/logging.write",
                   "https://www.googleapis.com/auth/monitoring",
                   "https://www.googleapis.com/auth/servicecontrol",
                   "https://www.googleapis.com/auth/service.management.readonly",
                   "https://www.googleapis.com/auth/trace.append"
               ],
               "metadata": {
                   "disable-legacy-endpoints": "true"
               },
               "imageType": "COS",
               "tags": [
                   "pod-net-tag"
               ],
               "serviceAccount": "default",
               "diskType": "pd-standard",
               "shieldedInstanceConfig": {
                   "enableIntegrityMonitoring": true
               }
           },
           "masterAuth": {
               "clusterCaCertificate": "CERTIFICATE"
           }
}
הודעות פלט

הפעולה List Clusters יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully found clusters for the provided criteria in GKE.

No clusters were found for the provided criteria in GKE.

 הפעולה הסתיימה בהצלחה.

Provided cluster location CLUSTER_LOCATION does not exist.

Invalid value was provided for "Max Records to Return": MAX_RECORDS_TO_RETURN. Positive number should be provided.

Error executing action "List Clusters". Reason: ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את פרמטרים הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה List Clusters:

שם התוצאה של הסקריפט ערך
is_success True או False

הצגת רשימה של מאגרי צמתים

משתמשים בפעולה List Node Pools כדי להציג רשימה של מאגרי צמתים עבור אשכול GKE על סמך קריטריוני החיפוש שצוינו.

לוגיקת הסינון פועלת עם השדה node pool name.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה List Node Pools (הצגת רשימה של מאגרי צמתים) דורשת את הפרמטרים הבאים:

פרמטר תיאור
Cluster Location

חובה.

מיקום לחיפוש אשכולות, למשל: europe-central2-a.
Cluster Name

חובה.

השם של האשכול שמחפשים.
Filter Logic

זה שינוי אופציונלי.

הלוגיקה של המסנן שרוצים להחיל.

לוגיקת הסינון פועלת עם השדה node pool name.

הערכים האפשריים הם:

  • Not Specified
  • Equal
  • Contains

ערך ברירת המחדל הוא Not Specified.
Filter Value

זה שינוי אופציונלי.

הערך שבו רוצים להשתמש לסינון.

לוגיקת הסינון פועלת עם השדה node pool name.

אם מגדירים את הפרמטר Filter Logic לערך Equal, הפעולה מחפשת את Filter Value ההתאמה המדויקת בתוצאות. אם מגדירים את הפרמטר Filter Logic לערך Contains, הפעולה מחפשת תוצאות שמכילות את מחרוזת המשנה שצוינה בפרמטר הזה. אם לא מגדירים ערך, הפעולה מתעלמת מהמסנן.
Max Records To Return

זה שינוי אופציונלי.

מספר הרשומות שיוחזרו.

ערך ברירת המחדל הוא 50.

פלט של פעולות

הפעולה List Node Pools מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת יש גישה
טבלת העשרה לא זמין
תוצאה בפורמט JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
טבלת קיר עם תושבת

הפעולה List Node Pools יכולה להחזיר את הטבלה הבאה:

שם הטבלה: Found Node Pools

  • שם
  • סטטוס
  • גרסה
  • סוג מכונה
  • תגים
  • חשבון שירות
  • מספר הצמתים הראשוני
  • שינוי גודל אוטומטי
  • Max Pods Constraint
  • מיקומים
תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל כשמשתמשים בפעולה List Node Pools:

{
    "nodePools": [
        {
            "name": "example-pool",
            "config": {
                "machineType": "e2-micro",
                "diskSizeGb": 15,
                "oauthScopes": [
                    "https://www.googleapis.com/auth/devstorage.read_only",
                    "https://www.googleapis.com/auth/logging.write",
                    "https://www.googleapis.com/auth/monitoring",
                    "https://www.googleapis.com/auth/servicecontrol",
                    "https://www.googleapis.com/auth/service.management.readonly",
                    "https://www.googleapis.com/auth/trace.append"
                ],
                "metadata": {
                    "disable-legacy-endpoints": "true"
                },
                "imageType": "COS",
                "tags": [
                    "pod-net-tag"
                ],
                "serviceAccount": "default",
                "diskType": "pd-standard",
                "shieldedInstanceConfig": {
                    "enableIntegrityMonitoring": true
                }
            },
            "initialNodeCount": 3,
            "autoscaling": {},
            "management": {
                "autoUpgrade": true,
                "autoRepair": true
            },
            "maxPodsConstraint": {
                "maxPodsPerNode": "8"
            },
            "podIpv4CidrSize": 28,
            "locations": [
                "europe-central2-a"
            ],
            "networkConfig": {
                "podRange": "gke-cluster-example-pods-ID",
                "podIpv4CidrBlock": "192.0.2.0/24"
            },
            "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-example/nodePools/example-pool",
            "version": "1.18.20-gke.900",
            "instanceGroupUrls": [
                "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/zones/europe-central2-a/instanceGroupManagers/gke-cluster-example-example-pool-ID-grp"
            ],
            "status": "RUNNING",
            "upgradeSettings": {
                "maxSurge": 1
            }
        }
    ]
}
הודעות פלט

הפעולה List Node Pools יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully found node pools for cluster CLUSTER_NAME for the provided criteria in GKE.

No node pools were found for cluster CLUSTER_NAME for the provided criteria in GKE.

 הפעולה הסתיימה בהצלחה.

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Invalid value was provided for "Max Records to Return": MAX_RECORDS_TO_RETURN. Positive number should be provided.

Error executing action "List Node Pools". Reason: ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את פרמטרים הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה List Node Pools:

שם התוצאה של הסקריפט ערך
is_success True או False

הצגת רשימה של פעולות

משתמשים בפעולה List Operations כדי להציג רשימה של פעולות GKE במיקום מסוים על סמך קריטריוני החיפוש שצוינו.

לוגיקת הסינון פועלת עם השדה operation name.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה List Operations דורשת את הפרמטרים הבאים:

פרמטר תיאור
Cluster Location

חובה.

המיקום שבו מחפשים פעולות, כמו europe-central2-a.
Filter Logic

זה שינוי אופציונלי.

הלוגיקה של המסנן שרוצים להחיל.

לוגיקת הסינון פועלת עם השדה cluster name.

הערכים האפשריים הם:

  • Equal
  • Contains

ערך ברירת המחדל הוא Equal.
Filter Value

זה שינוי אופציונלי.

הערך שבו רוצים להשתמש לסינון.

לוגיקת הסינון פועלת עם השדה cluster name.

אם מגדירים את הפרמטר Filter Logic לערך Equal, הפעולה מחפשת את Filter Value ההתאמה המדויקת בתוצאות. אם מגדירים את הפרמטר Filter Logic לערך Contains, הפעולה מחפשת תוצאות שמכילות את מחרוזת המשנה שצוינה בפרמטר הזה. אם לא מגדירים ערך, הפעולה מתעלמת מהמסנן.
Max Records To Return

זה שינוי אופציונלי.

מספר הרשומות שיוחזרו.

ערך ברירת המחדל הוא 50.

פלט של פעולות

הפעולה List Operations מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת יש גישה
טבלת העשרה לא זמין
תוצאה בפורמט JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
טבלת קיר עם תושבת

הפעולה List Operations יכולה להחזיר את הטבלה הבאה:

שם הטבלה: Found Operations

עמודות בטבלה:

  • שם
  • תחום (zone)
  • סוג הפעולה
  • סטטוס
  • שעת ההתחלה
  • שעת הסיום
  • Target Link
  • קישור עצמי
תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט התוצאה בפורמט JSON שמתקבל כשמשתמשים בפעולה List Operations:

{
    "operations": [
        {
            "name": "operation-OPERATION_ID",
            "zone": "europe-central2-a",
            "operationType": "UPGRADE_MASTER",
            "status": "DONE",
            "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
            "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-example",
            "startTime": "2021-08-06T12:33:51.614562051Z",
            "endTime": "2021-08-06T12:38:55.038159801Z"
        },
    ]
}
הודעות פלט

הפעולה List Operations יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully found operations for the provided criteria in GKE.

No operations were found for the provided criteria in GKE.

הפעולה הסתיימה בהצלחה.

Provided cluster location CLUSTER_LOCATION does not exist.

Error executing action "List Operations". Reason: ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את פרמטרים הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה List Operations:

שם התוצאה של הסקריפט ערך
is_success True או False

פינג

משתמשים בפעולה Ping כדי לבדוק את הקישוריות ל-GKE.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

אין.

פלט של פעולות

הפעולה Ping מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON לא זמין
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
הודעות פלט

הפעולה Ping יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה
Successfully connected to the GKE service with the provided connection parameters! הפעולה הסתיימה בהצלחה.
Failed to connect to the GKE service! Error is ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את פרמטרים הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט תוצאת הסקריפט כשמשתמשים בפעולה Ping:

שם התוצאה של הסקריפט ערך
is_success True או False

הגדרת תוספים לאשכול

משתמשים בפעולה Set Cluster Addons כדי להגדיר תוספים לאשכול GKE.

אם שינוי בהגדרות כבר מתבצע באשכול היעד, אי אפשר לבצע בו שינויים חדשים בהגדרות עד שהשינוי הנוכחי בהגדרות יסתיים.

הפעולה הזו מתבצעת באופן אסינכרוני. משנים את ההגדרות של Google SecOps IDE לפי הצורך.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Set Cluster Addons דורשת את הפרמטרים הבאים:

פרמטר תיאור
Cluster Location

חובה.

מיקום לחיפוש אשכולות, למשל: europe-central2-a.
Cluster Name

חובה.

השם של האשכול שמחפשים.
HTTP Load Balancing

זה שינוי אופציונלי.

הערך של תוסף איזון העומסים של HTTP.

הערכים האפשריים הם:

  • Not Changed
  • Disabled
  • Enabled

ערך ברירת המחדל הוא Not Changed.
Horizontal Pod Autoscaling

זה שינוי אופציונלי.

הערך של תוסף ההתאמה האופקית של קבוצות Pod לעומס.

הערכים האפשריים הם:

  • Not Changed
  • Disabled
  • Enabled

ערך ברירת המחדל הוא Not Changed.
Network Policy Config

זה שינוי אופציונלי.

הערך של תוסף ההגדרה של מדיניות רשת ב-Kubernetes.

הערכים האפשריים הם:

  • Not Changed
  • Disabled
  • Enabled

ערך ברירת המחדל הוא Not Changed.
Cloud Run Config

זה שינוי אופציונלי.

הערך של תוסף ההגדרה של Cloud Run.

הערכים האפשריים הם:

  • Not Changed
  • Disabled
  • Enabled, Load Balancer Type Unspecified
  • Enabled, Load Balancer Type External
  • Enabled, Load Balancer Type Internal

ערך ברירת המחדל הוא Not Changed.
DNS Cache Config

זה שינוי אופציונלי.

הערך של תוסף ההגדרה של מטמון ה-DNS.

הערכים האפשריים הם:

  • Not Changed
  • Disabled
  • Enabled

ערך ברירת המחדל הוא Not Changed.
Config Connector Config

זה שינוי אופציונלי.

הערך של תוסף ההגדרה של Config Connector.

הערכים האפשריים הם:

  • Not Changed
  • Disabled
  • Enabled

ערך ברירת המחדל הוא Not Changed.
Persistent Disk Csi Driver Config

זה שינוי אופציונלי.

מציינים את הערך של תוסף ההגדרה של מנהל התקן Container Storage Interface ‏ (CSI) של דיסק מתמשך ב-Compute Engine.

הערכים האפשריים הם:

  • Not Changed
  • Disabled
  • Enabled

ערך ברירת המחדל הוא Not Changed.
Wait for cluster configuration change operation to finish

זה שינוי אופציונלי.

אם הפעולה נבחרה, היא ממתינה לתוצאות של פעולת שינוי הגדרות האשכול.

האפשרות הזו מסומנת כברירת מחדל.

פלט של פעולות

הפעולה Set Cluster Addons מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל כשמשתמשים בפעולה Set Cluster Addons:

{
   "name": "operation-OPERATION_ID",
   "zone": "europe-central2-a",
   "operationType": "UPDATE_CLUSTER",
   "status": "RUNNING",
   "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
   "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test",
   "startTime": "2021-08-15T11:34:43.051036236Z"
}
הודעות פלט

הפעולה Set Cluster Addons יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully created cluster configuration change operation.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 הפעולה הסתיימה בהצלחה.

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Error executing action "Set Cluster Addons". Reason: ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את פרמטרים הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Set Cluster Addons:

שם התוצאה של הסקריפט ערך
is_success True או False

הגדרת תוויות לאשכולות

משתמשים בפעולה Set Cluster Labels כדי להגדיר תוויות לאשכול GKE. הפעולה מוסיפה תוויות חדשות לתוויות קיימות של אשכולות.

אם שינוי בהגדרות כבר מתבצע באשכול היעד, אי אפשר לבצע בו שינויים חדשים בהגדרות עד שהשינוי הנוכחי בהגדרות יסתיים.

הפעולה הזו מתבצעת באופן אסינכרוני. משנים את ההגדרות של Google SecOps IDE לפי הצורך.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Set Cluster Labels (הגדרת תוויות לאשכול) דורשת את הפרמטרים הבאים:

פרמטר תיאור
Cluster Location

חובה.

מיקום לחיפוש אשכולות, למשל: europe-central2-a.
Cluster Name

חובה.

השם של האשכול שמחפשים.
Cluster Labels

חובה.

אובייקט JSON שמכיל תוויות להוספה לאשכול. הפעולה מוסיפה תוויות חדשות לתוויות קיימות של אשכולות.

ערך ברירת המחדל הוא:

{
      "key1":"value1",
      "key2":"value2"
      }
Wait for cluster configuration change operation to finish

זה שינוי אופציונלי.

אם בוחרים באפשרות הזו, הפעולה ממתינה לתוצאות של פעולת שינוי הגדרת האשכול.

לא מסומן כברירת מחדל.

פלט של פעולות

הפעולה Set Cluster Labels מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל כשמשתמשים בפעולה Set Cluster Labels:

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "UPDATE_CLUSTER",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
הודעות פלט

הפעולה Set Cluster Labels יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully created cluster configuration change operation.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

הפעולה הסתיימה בהצלחה.

Provided cluster location CLUSTER_LOCATION does not exist.

Invalid value was provided for the cluster labels: CLUSTER_LABELS.

Error executing action "Set Cluster Labels". Reason: ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את פרמטרים הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Set Cluster Labels:

שם התוצאה של הסקריפט ערך
is_success True או False

הגדרת התאמה אוטומטית של מספר הצמתים

משתמשים בפעולה Set Node Autoscaling כדי להגדיר את התצורה של שינוי הגודל האוטומטי של מאגר הצמתים באשכול GKE. הפעולה היא אסינכרונית.

אם שינוי בהגדרות כבר מתבצע באשכול היעד, אי אפשר לבצע בו שינויים חדשים בהגדרות עד שהשינוי הנוכחי בהגדרות יסתיים.

הפעולה הזו מתבצעת באופן אסינכרוני. משנים את ההגדרות של Google SecOps IDE לפי הצורך.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Set Node Autoscaling (הגדרת שינוי גודל אוטומטי של צומת) דורשת את הפרמטרים הבאים:

פרמטר תיאור
Cluster Location

חובה.

מיקום לחיפוש אשכולות, למשל: europe-central2-a.
Cluster Name

חובה.

השם של האשכול שמחפשים.
Node Pool Name

חובה.

השם של מאגר הצמתים של האשכול.
Autoscaling Mode

זה שינוי אופציונלי.

סטטוס מצב שינוי הגודל האוטומטי של מאגר הצמתים.

הערכים האפשריים הם:

  • Not Changed
  • Enabled
  • Disabled

ערך ברירת המחדל הוא Not Changed.
Minimum Node Count

זה שינוי אופציונלי.

המספר המינימלי של הצמתים בהגדרת מאגר הצמתים.
Maximum Node Count

זה שינוי אופציונלי.

המספר המקסימלי של צמתים בהגדרת מאגר הצמתים.
Wait for cluster configuration change operation to finish

זה שינוי אופציונלי.

אם הפעולה נבחרה, היא ממתינה לתוצאות של פעולת שינוי הגדרות האשכול.

האפשרות הזו לא מסומנת כברירת מחדל.

פלט של פעולות

הפעולה Set Node Autoscaling מספקת את הפלט הבא:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל כשמשתמשים בפעולה Set Node Autoscaling:

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "UPDATE_CLUSTER",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
הודעות פלט

הפעולה Set Node Autoscaling יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully created cluster node pool configuration change operation.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 הפעולה הסתיימה בהצלחה.

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Error executing action "Set Node Autoscaling". Reason: ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את פרמטרים הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Set Node Autoscaling:

שם התוצאה של הסקריפט ערך
is_success True או False

הגדרת ניהול מאגר צמתים

משתמשים בפעולה Set Node Pool Management כדי להגדיר את ניהול מאגר הצמתים באשכול GKE.

הפעולה הזו מתבצעת באופן אסינכרוני. משנים את ההגדרות של Google SecOps IDE לפי הצורך.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Set Node Pool Management דורשת את הפרמטרים הבאים:

פרמטר תיאור
Cluster Location

חובה.

מיקום לחיפוש אשכולות, למשל: europe-central2-a.
Cluster Name

חובה.

השם של האשכול שמחפשים.
Node Pool Name

חובה.

השם של מאגר הצמתים באשכול GKE.
Auto Upgrade

זה שינוי אופציונלי.

הסטטוס של תכונת הניהול של השדרוג האוטומטי.
Auto Repair

זה שינוי אופציונלי.

הסטטוס של התכונה לניהול תיקונים אוטומטיים.
Wait for cluster configuration change operation to finish

זה שינוי אופציונלי.

אם הפעולה נבחרה, היא ממתינה לתוצאות של פעולת שינוי הגדרות האשכול.

האפשרות הזו לא מסומנת כברירת מחדל.

פלט של פעולות

הפעולה Set Node Pool Management מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל כשמשתמשים בפעולה Set Node Pool Management:

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "SET_NODE_POOL_MANAGEMENT",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test/nodePools/default-pool",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
הודעות פלט

הפעולה Set Node Pool Management יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully created cluster node pool configuration change operation.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 הפעולה הסתיימה בהצלחה.

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Provided node pool name NODE_POOL_NAME was not found.

Error executing action "Set Node Pool Management". Reason: ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את פרמטרים הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Set Node Pool Management:

שם התוצאה של הסקריפט ערך
is_success True או False

הגדרת מספר הצמתים

משתמשים בפעולה Set Node Count כדי להגדיר את מספר הצמתים במאגר הצמתים של אשכול GKE.

הפעולה הזו מתבצעת באופן אסינכרוני. משנים את ההגדרות של Google SecOps IDE לפי הצורך.

הפעולה הזו לא מופעלת בישויות של Google SecOps.

הוספת נתונים לפעולה

הפעולה Set Node Count (הגדרת מספר הצמתים) דורשת את הפרמטרים הבאים:

פרמטר תיאור
Cluster Location

חובה.

מיקום לחיפוש אשכולות, למשל: europe-central2-a.
Cluster Name

חובה.

השם של האשכול שמחפשים.
Node Pool Name

חובה.

השם של מאגר הצמתים באשכול GKE.
Node Count

חובה.

מספר הצמתים במאגר הצמתים של אשכול GKE.
Wait for cluster configuration change operation to finish

זה שינוי אופציונלי.

אם הפעולה נבחרה, היא ממתינה לתוצאות של פעולת שינוי הגדרות האשכול.

האפשרות הזו לא מסומנת כברירת מחדל.

פלט של פעולות

הפעולה Set Node Count מספקת את הפלטים הבאים:

סוג הפלט של הפעולה זמינות
קיר המארז לא זמין
קישור לקיר של הפנייה לא זמין
טבלת קיר עם תושבת לא זמין
טבלת העשרה לא זמין
תוצאה בפורמט JSON יש גישה
הודעות פלט יש גישה
תוצאת הסקריפט יש גישה
תוצאה בפורמט JSON

בדוגמה הבאה מוצג פלט של תוצאת JSON שהתקבל כשמשתמשים בפעולה Set Node Count:

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "SET_NODE_POOL_SIZE",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test/nodePools/default-pool",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
הודעות פלט

הפעולה Set Node Count יכולה להחזיר את הודעות הפלט הבאות:

הודעת פלט תיאור ההודעה

Successfully created cluster node pool configuration change operation.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 הפעולה הסתיימה בהצלחה.

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Provided node pool name NODE_POOL_NAME was not found.

Invalid value was provided for the node count: NODE_COUNT. The value should be a positive number.

Error executing action "Set Node Count". Reason: ERROR_REASON

הפעולה נכשלה.

בודקים את החיבור לשרת, את פרמטרים הקלט או את פרטי הכניסה.
תוצאת הסקריפט

בטבלה הבאה מפורט הערך של פלט התוצאה של הסקריפט כשמשתמשים בפעולה Set Node Count:

שם התוצאה של הסקריפט ערך
is_success True או False

הבעיה עדיין לא נפתרה? קבלת תשובות מחברי הקהילה וממומחי Google SecOps.