GKE を Google SecOps と統合する

このドキュメントでは、Google Kubernetes Engine（GKE）を Google Security Operations と構成して統合する方法について説明します。

ユースケース

GKE インテグレーションは、Google SecOps の機能を使用して次のユースケースをサポートします。

  • クラスタ インベントリ: 指定されたロケーション内のすべての GKE クラスタのリストを自動的に取得します。これにより、セキュリティ チームは Kubernetes インフラストラクチャの最新のインベントリを維持できます。

  • 動的自動スケーリング: セキュリティ イベントや運用アラートに応じてノードプールのサイズを自動的に調整し、最適なパフォーマンスを確保します。

  • ラベルベースの分離: セキュリティ ポリシーまたはインシデント対応手順に基づいて、GKE クラスタにラベルを自動的に適用します。

  • アドオン構成の調整: セキュリティのベスト プラクティスに基づいて、GKE アドオンを自動的に有効または無効にします。安全でないアドオンを無効にすると、攻撃対象領域を減らすことができます。

  • オペレーション ステータスのモニタリング: セキュリティ ハンドブックまたはインシデント対応ワークフローによってトリガーされる GKE オペレーションのステータスを自動的にモニタリングします。これにより、セキュリティ アナリストは修復の進行状況をモニタリングし、進行中のオペレーションのステータスを確認できます。

始める前に

Google SecOps で GKE 統合を構成する前に、次の前提条件の手順を完了します。

  1. カスタムの Identity and Access Management ロールを作成して構成する。

  2. サービス アカウントを作成します。

  3. 次のいずれかの認証方法を選択して構成します。

    • オプション 1: Workload Identity（推奨）: この方法では、サービス アカウントの権限借用を介して有効期間の短いトークンを使用します。

    • オプション 2: サービス アカウントの JSON キー: この方法は、静的で有効期間の長いシークレット キーファイルに依存しています。

IAM ロールを作成して構成する

統合に必要な権限を付与するには、プロジェクトにカスタムロールを作成します。

  1. Google Cloud コンソールで、[ロール] に移動します。

    [ロール] に移動

  2. [ロールを作成] をクリックします。

  3. [タイトル]（例: SecOps GKE Analyst）、[説明]、一意の [ID] を指定します。

  4. [ロールのリリース段階] を [一般提供] に設定します。

  5. ロールに次の権限を追加します。

    • container.clusters.list
    • container.clusters.update
    • container.clusters.get
    • container.operations.list
    • container.operations.get

  6. [作成] をクリックします。

サービス アカウントを作成する

  1. Google Cloud コンソールで、[IAM と管理] > [サービス アカウント] に移動します。

    [サービス アカウント] に移動

  2. [追加サービス アカウントを作成] をクリックします。

  3. 名前と説明を入力し、[作成して続行] をクリックします。

  4. [このサービス アカウントにプロジェクトへのアクセスを許可する] ステップで、作成したカスタム IAM ロールを割り当てます。

  5. [完了] をクリックします。サービス アカウントのメールアドレスをメモします。

Workload Identity の認証情報を構成する

Workload Identity は、サービス アカウントの権限借用を使用して有効期間の短いアクセス トークンを使用するため、推奨されるアプローチです。

一意のインスタンス ID を特定する

接続を確立するには、Google SecOps インスタンスにサービス アカウントの権限借用を許可する必要があります。

  1. Google SecOps で、[コンテンツ ハブ] > [レスポンス統合] に移動します。

  2. [GKE] 統合を選択し、Workload Identity Email フィールドにサービス アカウントのメールアドレスを入力します。

  3. [保存] > [テスト] をクリックします。テストは失敗することが想定されます。

  4. [テスト] の横にある close_small ボタンをクリックし、gke-init-python@... または soar-python@... で始まる ID メールアドレスを見つけます。

  5. この一意のメールアドレスをコピーします。

Google Cloudでインスタンス ID を承認する

  1. Google Cloud コンソールで、[IAM と管理] > [サービス アカウント] に移動します。

    [サービス アカウント] に移動

  2. ターゲット サービス アカウントを選択し、[権限> アクセス権を付与] に移動します。

  3. 一意のメールアドレスを [新しいプリンシパル] フィールドに貼り付け、サービス アカウント トークン作成者ロール（roles/iam.serviceAccountTokenCreator）を割り当てます。

割り当てプロジェクトへのアクセス権を付与する

Workload Identity で認証するには、API の使用量と課金を追跡する Quota Project ID が必要です。

  1. Google Cloud コンソールで、割り当てプロジェクトとして使用されるプロジェクトの [IAM] に移動します。

    IAM に移動

  2. サービス アカウントを見つけて、[プリンシパルを編集]（編集）をクリックします。

  3. [別のロールを追加] をクリックし、[Service Usage コンシューマー]（roles/serviceusage.serviceUsageConsumer）を選択します。

  4. [保存] をクリックします。

JSON キーを構成する

静的で有効期間の長いシークレット キーファイルは、手動でローテーションする必要があります。この方法は、Workload Identity 認証が使用できない場合にのみ使用してください。

  1. Google Cloud コンソールで、[IAM と管理>サービス アカウント] に移動し、サービス アカウントを選択します。

    [サービス アカウント] に移動

  2. [鍵] タブに移動し、[鍵を追加 > 新しい鍵を作成] をクリックします。

  3. [JSON] を選択し、[作成] をクリックします。ブラウザによって JSON ファイルがパソコンにダウンロードされます。

個々のパラメータを手動で構成する

認証情報を手動で入力する場合は、ダウンロードした JSON 鍵ファイルをテキスト エディタで開いたままにして、統合設定に必要な個々の値をコピーします。

統合のパラメータ

Google SecOps と GKE の間に接続を確立するには、次のパラメータを構成する必要があります。この統合では、3 つの異なる認証パスがサポートされています。認証情報を提供する方法は次のとおりです。

  • Workload Identity: Workload Identity Email と Quota Project ID を使用します。

  • サービス アカウントの JSON ファイル: Service Account Json File Content を使用して、キーファイル全体を提供します。

  • 個々のパラメータを手動で指定する: JSON キーから手動でコピーした個別のフィールドを使用します。

パラメータ 説明
API Root

必須。

GKE インスタンスの API ルート。

デフォルト値は https://container.googleapis.com です。
Workload Identity Email

省略可。

サービス アカウントのクライアント メールアドレス。

このパラメータは、Workload Identity を使用して認証する場合にのみ構成します。構成されている場合は、Quota Project ID も指定する必要があります。Service Account JSON File Content は無視されます。
Service Account Json File Content

省略可。

サービス アカウント キーの JSON ファイルの完全な内容。このパラメータは、JSON キーを使用して認証する場合にのみ構成します。
Project ID

省略可。

GKE でターゲットとするプロジェクト ID。

値が指定されていない場合、インテグレーションはサービス アカウント認証情報から ID を取得します。
Quota Project ID

省略可。

API の使用量と請求額に使用されるプロジェクト ID。

このパラメータは、Workload Identity 認証を使用する場合に必要です。

値が指定されていない場合、インテグレーションはサービス アカウント認証情報から ID を取得します。
Location ID

省略可。

クラスタ オペレーションのスコープ設定に使用される地域 ID。

デフォルト値は europe-central2-a です。
Verify SSL

必須。

選択すると、統合によって Google Cloud サーバーへの接続時に SSL 証明書が検証されます。

デフォルトで有効になっています。

個々の認証情報のパラメータ

次のパラメータは、完全な JSON ファイルの内容または Workload Identity を使用するのではなく、認証情報を手動で入力する場合にのみ構成します。

パラメータ 説明
Account Type

省略可。

JSON キーの type フィールドにある値（通常は service_account）。
Private Key ID

省略可。

JSON キーの private_key_id フィールドで見つかった値。
Private Key

省略可。

JSON キーの private_key フィールドで見つかった値。
Client Email

省略可。

JSON キーの client_email フィールドで見つかった値。
Client ID

省略可。

JSON キーの client_id フィールドで見つかった値。
Auth URI

省略可。

JSON キーの auth_uri フィールドで見つかった値。

デフォルトは https://accounts.google.com/o/oauth2/auth です。
Token URI

省略可。

JSON キーの token_uri フィールドで見つかった値。

デフォルトは https://oauth2.googleapis.com/token です。
Auth Provider X509 URL

省略可。

JSON キーの auth_provider_x509_cert_url フィールドにある値。
Client X509 URL

省略可。

JSON キーの client_x509_cert_url フィールドにある値。

Google SecOps で統合を構成する手順については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できるようになります。複数のインスタンスの構成とサポートの詳細については、複数のインスタンスのサポートをご覧ください。

操作

アクションの詳細については、 デスクから保留中のアクションに対応すると手動による対策を実行するをご覧ください。

オペレーションのステータスを取得する

オペレーション ステータスの取得アクションを使用して、GKE オペレーションのステータスを取得します。

このアクションは非同期です。必要に応じて、アクションの Google SecOps 統合開発環境（IDE）を調整します。

このアクションは Google SecOps エンティティに対して実行されません。

アクションの入力

[オペレーション ステータスを取得] アクションには、次のパラメータが必要です。

パラメータ 説明
Location

必須。

オペレーションのステータスを取得するロケーション（europe-central2-a など）。
Operation Name

必須。

取得するオペレーション。
Wait for the operation to finish

省略可。

選択すると、アクションはオペレーションの結果を待機します。

デフォルトでは選択されていません。

アクションの出力

[Get Operation Status] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、オペレーション ステータスの取得アクションを使用した場合に受信する JSON 結果の出力を示しています。

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "SET_NODE_POOL_SIZE",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test/nodePools/default-pool",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
出力メッセージ

[オペレーション ステータスの取得] アクションは、次の出力メッセージを返すことがあります。

出力メッセージ メッセージの説明

Successfully fetched operation details.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 アクションが成功しました。

Provided cluster location CLUSTER_LOCATION does not exist.

Provided operation name OPERATION_NAME was not found.

Error executing action "Set Node Count". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、オペレーション ステータスの取得アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

クラスタの一覧表示

クラスタを一覧表示アクションを使用して、指定した検索条件に基づいて GKE クラスタを一覧表示します。

このアクションは Google SecOps エンティティに対して実行されません。

アクションの入力

クラスタのリストを取得アクションには、次のパラメータが必要です。

パラメータ 説明
Cluster Location

必須。

クラスタを検索するロケーション（europe-central2-a など）。
Filter Logic

省略可。

適用するフィルタ ロジック。

フィルタリング ロジックは cluster name フィールドで機能します。

使用できる値は次のとおりです。

  • Not Specified
  • Equal
  • Contains

デフォルト値は Not Specified です。
Filter Value

省略可。

フィルタに使用する値。

フィルタリング ロジックは cluster name フィールドで機能します。

Filter Logic パラメータを Equal に設定すると、アクションは結果から Filter Value の完全一致を探します。Filter Logic パラメータを Contains に設定すると、アクションはこのパラメータで指定した部分文字列を含む結果を検索します。値を設定しない場合、アクションはフィルタを無視します。
Max Records To Return

省略可。

返すレコード数。

デフォルト値は 50 です。

アクションの出力

[クラスタを一覧表示] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用可能
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
ケースウォール テーブル

クラスタのリスト アクションは、次の表を返すことができます。

テーブル名: 検出されたクラスタ

テーブルの列:

  • ID
  • 名前
  • 説明
  • クラスタ ネットワーク
  • クラスタ IPv4 CIDR
  • ラベル
  • クラスタ エンドポイント
  • ステータス
  • ロケーション
  • ゾーン
  • 初期クラスタ バージョン
  • 現在のマスター バージョン
  • 現在のノード バージョン
  • 作成時間
JSON の結果

次の例は、クラスタのリストを取得アクションを使用した場合に受信する JSON 結果の出力です。

{
           "name": "cluster-test",
           "description": "Requested by user",
           "nodeConfig": {
               "machineType": "e2-micro",
               "diskSizeGb": 15,
               "oauthScopes": [
                   "https://www.googleapis.com/auth/devstorage.read_only",
                   "https://www.googleapis.com/auth/logging.write",
                   "https://www.googleapis.com/auth/monitoring",
                   "https://www.googleapis.com/auth/servicecontrol",
                   "https://www.googleapis.com/auth/service.management.readonly",
                   "https://www.googleapis.com/auth/trace.append"
               ],
               "metadata": {
                   "disable-legacy-endpoints": "true"
               },
               "imageType": "COS",
               "tags": [
                   "pod-net-tag"
               ],
               "serviceAccount": "default",
               "diskType": "pd-standard",
               "shieldedInstanceConfig": {
                   "enableIntegrityMonitoring": true
               }
           },
           "masterAuth": {
               "clusterCaCertificate": "CERTIFICATE"
           }
}
出力メッセージ

クラスタを一覧表示アクションは、次の出力メッセージを返すことがあります。

出力メッセージ メッセージの説明

Successfully found clusters for the provided criteria in GKE.

No clusters were found for the provided criteria in GKE.

 アクションが成功しました。

Provided cluster location CLUSTER_LOCATION does not exist.

Invalid value was provided for "Max Records to Return": MAX_RECORDS_TO_RETURN. Positive number should be provided.

Error executing action "List Clusters". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、クラスタを一覧表示アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

ノードプールの一覧表示

[ノードプールのリスト] アクションを使用して、指定した検索条件に基づいて GKE クラスタのノードプールを一覧表示します。

フィルタリング ロジックは node pool name フィールドで機能します。

このアクションは Google SecOps エンティティに対して実行されません。

アクションの入力

[List Node Pools] アクションには、次のパラメータが必要です。

パラメータ 説明
Cluster Location

必須。

クラスタを検索するロケーション（europe-central2-a など）。
Cluster Name

必須。

検索するクラスタの名前。
Filter Logic

省略可。

適用するフィルタ ロジック。

フィルタリング ロジックは node pool name フィールドで機能します。

使用できる値は次のとおりです。

  • Not Specified
  • Equal
  • Contains

デフォルト値は Not Specified です。
Filter Value

省略可。

フィルタに使用する値。

フィルタリング ロジックは node pool name フィールドで機能します。

Filter Logic パラメータを Equal に設定すると、アクションは結果から Filter Value の完全一致を探します。Filter Logic パラメータを Contains に設定すると、アクションはこのパラメータで指定した部分文字列を含む結果を検索します。値を設定しない場合、アクションはフィルタを無視します。
Max Records To Return

省略可。

返すレコード数。

デフォルト値は 50 です。

アクションの出力

[ノードプールを一覧表示] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用可能
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
ケースウォール テーブル

ノードプールを一覧表示アクションは、次の表を返すことができます。

テーブル名: Found Node Pools

  • 名前
  • ステータス
  • バージョン
  • マシンタイプ
  • タグ
  • サービス アカウント
  • 初期ノード数
  • 自動スケーリング
  • 最大 Pod 数の制約
  • ロケーション
JSON の結果

次の例は、ノードプールを一覧表示するアクションを使用した場合に受信する JSON 結果の出力を示しています。

{
    "nodePools": [
        {
            "name": "example-pool",
            "config": {
                "machineType": "e2-micro",
                "diskSizeGb": 15,
                "oauthScopes": [
                    "https://www.googleapis.com/auth/devstorage.read_only",
                    "https://www.googleapis.com/auth/logging.write",
                    "https://www.googleapis.com/auth/monitoring",
                    "https://www.googleapis.com/auth/servicecontrol",
                    "https://www.googleapis.com/auth/service.management.readonly",
                    "https://www.googleapis.com/auth/trace.append"
                ],
                "metadata": {
                    "disable-legacy-endpoints": "true"
                },
                "imageType": "COS",
                "tags": [
                    "pod-net-tag"
                ],
                "serviceAccount": "default",
                "diskType": "pd-standard",
                "shieldedInstanceConfig": {
                    "enableIntegrityMonitoring": true
                }
            },
            "initialNodeCount": 3,
            "autoscaling": {},
            "management": {
                "autoUpgrade": true,
                "autoRepair": true
            },
            "maxPodsConstraint": {
                "maxPodsPerNode": "8"
            },
            "podIpv4CidrSize": 28,
            "locations": [
                "europe-central2-a"
            ],
            "networkConfig": {
                "podRange": "gke-cluster-example-pods-ID",
                "podIpv4CidrBlock": "192.0.2.0/24"
            },
            "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-example/nodePools/example-pool",
            "version": "1.18.20-gke.900",
            "instanceGroupUrls": [
                "https://www.googleapis.com/compute/v1/projects/PROJECT_ID/zones/europe-central2-a/instanceGroupManagers/gke-cluster-example-example-pool-ID-grp"
            ],
            "status": "RUNNING",
            "upgradeSettings": {
                "maxSurge": 1
            }
        }
    ]
}
出力メッセージ

ノードプールを一覧表示アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully found node pools for cluster CLUSTER_NAME for the provided criteria in GKE.

No node pools were found for cluster CLUSTER_NAME for the provided criteria in GKE.

 アクションが成功しました。

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Invalid value was provided for "Max Records to Return": MAX_RECORDS_TO_RETURN. Positive number should be provided.

Error executing action "List Node Pools". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、ノードプールを一覧表示アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

オペレーションの一覧表示

オペレーションのリスト アクションを使用して、指定された検索条件に基づいてロケーションの GKE オペレーションを一覧表示します。

フィルタリング ロジックは operation name フィールドで機能します。

このアクションは Google SecOps エンティティに対して実行されません。

アクションの入力

[List Operations] アクションには、次のパラメータが必要です。

パラメータ 説明
Cluster Location

必須。

オペレーションを検索するロケーション（europe-central2-a など）。
Filter Logic

省略可。

適用するフィルタ ロジック。

フィルタリング ロジックは cluster name フィールドで機能します。

使用できる値は次のとおりです。

  • Equal
  • Contains

デフォルト値は Equal です。
Filter Value

省略可。

フィルタに使用する値。

フィルタリング ロジックは cluster name フィールドで機能します。

Filter Logic パラメータを Equal に設定すると、アクションは結果から Filter Value の完全一致を探します。Filter Logic パラメータを Contains に設定すると、アクションはこのパラメータで指定した部分文字列を含む結果を検索します。値を設定しない場合、アクションはフィルタを無視します。
Max Records To Return

省略可。

返すレコード数。

デフォルト値は 50 です。

アクションの出力

[リスト オペレーション] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用可能
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
ケースウォール テーブル

List Operations アクションは、次の表を返すことができます。

テーブル名: Found Operations

テーブルの列:

  • 名前
  • ゾーン
  • オペレーション タイプ
  • ステータス
  • 開始時間
  • 終了時間
  • Target Link
  • Self Link
JSON の結果

次の例は、List Operations アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
    "operations": [
        {
            "name": "operation-OPERATION_ID",
            "zone": "europe-central2-a",
            "operationType": "UPGRADE_MASTER",
            "status": "DONE",
            "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
            "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-example",
            "startTime": "2021-08-06T12:33:51.614562051Z",
            "endTime": "2021-08-06T12:38:55.038159801Z"
        },
    ]
}
出力メッセージ

List Operations アクションは、次の出力メッセージを返すことがあります。

出力メッセージ メッセージの説明

Successfully found operations for the provided criteria in GKE.

No operations were found for the provided criteria in GKE.

アクションが成功しました。

Provided cluster location CLUSTER_LOCATION does not exist.

Error executing action "List Operations". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、List Operations アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

Ping

Ping アクションを使用して、GKE への接続をテストします。

このアクションは Google SecOps エンティティに対して実行されません。

アクションの入力

なし

アクションの出力

[Ping] アクションでは、次の出力が提供されます。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用不可
出力メッセージ 利用可能
スクリプトの結果 利用可能
出力メッセージ

Ping アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明
Successfully connected to the GKE service with the provided connection parameters! アクションが成功しました。
Failed to connect to the GKE service! Error is ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、Ping アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

クラスタ アドオンを設定する

クラスタ アドオンの設定アクションを使用して、GKE クラスタのアドオンを設定します。

ターゲット クラスタで構成の変更がすでに進行中の場合、現在の構成の変更が完了するまで、新しい構成の変更を受け入れることはできません。

このアクションは非同期で実行されます。必要に応じて、Google SecOps IDE の設定を調整します。

このアクションは Google SecOps エンティティに対して実行されません。

アクションの入力

クラスタ アドオンの設定アクションには、次のパラメータが必要です。

パラメータ 説明
Cluster Location

必須。

クラスタを検索するロケーション（europe-central2-a など）。
Cluster Name

必須。

検索するクラスタの名前。
HTTP Load Balancing

省略可。

HTTP ロード バランシング アドオンの値。

値は次のいずれかになります。

  • Not Changed
  • Disabled
  • Enabled

デフォルト値は Not Changed です。
Horizontal Pod Autoscaling

省略可。

水平 Pod 自動スケーリング アドオンの値。

値は次のいずれかになります。

  • Not Changed
  • Disabled
  • Enabled

デフォルト値は Not Changed です。
Network Policy Config

省略可。

ネットワーク ポリシー構成アドオンの値。

値は次のいずれかになります。

  • Not Changed
  • Disabled
  • Enabled

デフォルト値は Not Changed です。
Cloud Run Config

省略可。

Cloud Run 構成アドオンの値。

値は次のいずれかになります。

  • Not Changed
  • Disabled
  • Enabled, Load Balancer Type Unspecified
  • Enabled, Load Balancer Type External
  • Enabled, Load Balancer Type Internal

デフォルト値は Not Changed です。
DNS Cache Config

省略可。

DNS キャッシュ構成アドオンの値。

値は次のいずれかになります。

  • Not Changed
  • Disabled
  • Enabled

デフォルト値は Not Changed です。
Config Connector Config

省略可。

Config Connector 構成アドオンの値。

値は次のいずれかになります。

  • Not Changed
  • Disabled
  • Enabled

デフォルト値は Not Changed です。
Persistent Disk Csi Driver Config

省略可。

Compute Engine 永続ディスク Container Storage Interface（CSI）ドライバ構成アドオンの値を指定します。

値は次のいずれかになります。

  • Not Changed
  • Disabled
  • Enabled

デフォルト値は Not Changed です。
Wait for cluster configuration change operation to finish

省略可。

選択すると、アクションはクラスタ構成変更オペレーションの結果を待機します。

デフォルトで選択されています。

アクションの出力

[クラスタ アドオンを設定] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、クラスタ アドオンの設定アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
   "name": "operation-OPERATION_ID",
   "zone": "europe-central2-a",
   "operationType": "UPDATE_CLUSTER",
   "status": "RUNNING",
   "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
   "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test",
   "startTime": "2021-08-15T11:34:43.051036236Z"
}
出力メッセージ

クラスタ アドオンの設定アクションは、次の出力メッセージを返すことがあります。

出力メッセージ メッセージの説明

Successfully created cluster configuration change operation.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 アクションが成功しました。

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Error executing action "Set Cluster Addons". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、クラスタ アドオンの設定アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

クラスタラベルを設定する

クラスタラベルを設定アクションを使用して、GKE クラスタのラベルを設定します。このアクションは、既存のクラスタラベルに新しいラベルを追加します。

ターゲット クラスタで構成の変更がすでに進行中の場合、現在の構成の変更が完了するまで、新しい構成の変更を受け入れることはできません。

このアクションは非同期で実行されます。必要に応じて、Google SecOps IDE の設定を調整します。

このアクションは Google SecOps エンティティに対して実行されません。

アクションの入力

クラスタラベルを設定アクションには、次のパラメータが必要です。

パラメータ 説明
Cluster Location

必須。

クラスタを検索するロケーション（europe-central2-a など）。
Cluster Name

必須。

検索するクラスタの名前。
Cluster Labels

必須。

クラスタに追加するラベルを含む JSON オブジェクト。このアクションは、既存のクラスタラベルに新しいラベルを追加します。

デフォルト値は次のとおりです。

{
      "key1":"value1",
      "key2":"value2"
      }
Wait for cluster configuration change operation to finish

省略可。

選択すると、アクションはクラスタ構成変更オペレーションの結果を待機します。

デフォルトでは選択されていません。

アクションの出力

[クラスタラベルを設定] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、クラスタラベルを設定アクションを使用した場合に受信する JSON 結果の出力を示しています。

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "UPDATE_CLUSTER",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
出力メッセージ

[クラスタラベルを設定] アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully created cluster configuration change operation.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

アクションが成功しました。

Provided cluster location CLUSTER_LOCATION does not exist.

Invalid value was provided for the cluster labels: CLUSTER_LABELS.

Error executing action "Set Cluster Labels". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、クラスタラベルを設定アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

ノードの自動スケーリングを設定する

ノードの自動スケーリングを設定アクションを使用して、GKE クラスタのノードプールの自動スケーリング構成を設定します。アクションは非同期です。

ターゲット クラスタで構成の変更がすでに進行中の場合、現在の構成の変更が完了するまで、新しい構成の変更を受け入れることはできません。

このアクションは非同期で実行されます。必要に応じて、Google SecOps IDE の設定を調整します。

このアクションは Google SecOps エンティティに対して実行されません。

アクションの入力

ノードの自動スケーリングを設定アクションには、次のパラメータが必要です。

パラメータ 説明
Cluster Location

必須。

クラスタを検索するロケーション（europe-central2-a など）。
Cluster Name

必須。

検索するクラスタの名前。
Node Pool Name

必須。

クラスタのノードプール名。
Autoscaling Mode

省略可。

ノードプールの自動スケーリング モードのステータス。

値は次のいずれかになります。

  • Not Changed
  • Enabled
  • Disabled

デフォルト値は Not Changed です。
Minimum Node Count

省略可。

ノードプール構成のノードの最小数。
Maximum Node Count

省略可。

ノードプール構成の最大ノード数。
Wait for cluster configuration change operation to finish

省略可。

選択すると、アクションはクラスタ構成変更オペレーションの結果を待機します。

デフォルトでは選択されていません。

アクションの出力

[ノードの自動スケーリングを設定] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、[ノードの自動スケーリングを設定] アクションを使用した場合に受信する JSON 結果の出力を示しています。

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "UPDATE_CLUSTER",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
出力メッセージ

[ノードの自動スケーリングを設定] アクションは、次の出力メッセージを返すことがあります。

出力メッセージ メッセージの説明

Successfully created cluster node pool configuration change operation.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 アクションが成功しました。

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Error executing action "Set Node Autoscaling". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、ノードの自動スケーリングを設定アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

ノードプールの管理を設定する

ノードプール管理の設定アクションを使用して、GKE クラスタのノードプール管理構成を設定します。

このアクションは非同期で実行されます。必要に応じて、Google SecOps IDE の設定を調整します。

このアクションは Google SecOps エンティティに対して実行されません。

アクションの入力

[ノードプール管理を設定] アクションには、次のパラメータが必要です。

パラメータ 説明
Cluster Location

必須。

クラスタを検索するロケーション（europe-central2-a など）。
Cluster Name

必須。

検索するクラスタの名前。
Node Pool Name

必須。

GKE クラスタのノードプール名。
Auto Upgrade

省略可。

自動アップグレード管理機能のステータス。
Auto Repair

省略可。

自動修復管理機能のステータス。
Wait for cluster configuration change operation to finish

省略可。

選択すると、アクションはクラスタ構成変更オペレーションの結果を待機します。

デフォルトでは選択されていません。

アクションの出力

[ノードプール管理を設定] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、ノードプールの管理を設定アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "SET_NODE_POOL_MANAGEMENT",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test/nodePools/default-pool",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
出力メッセージ

[ノードプール管理を設定] アクションは、次の出力メッセージを返すことができます。

出力メッセージ メッセージの説明

Successfully created cluster node pool configuration change operation.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 アクションが成功しました。

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Provided node pool name NODE_POOL_NAME was not found.

Error executing action "Set Node Pool Management". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、ノードプールの管理を設定アクションを使用する場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

ノード数を設定する

GKE クラスタ ノードプールのノード数を設定するには、[ノード数を設定] アクションを使用します。

このアクションは非同期で実行されます。必要に応じて、Google SecOps IDE の設定を調整します。

このアクションは Google SecOps エンティティに対して実行されません。

アクションの入力

[ノード数の設定] アクションには、次のパラメータが必要です。

パラメータ 説明
Cluster Location

必須。

クラスタを検索するロケーション（europe-central2-a など）。
Cluster Name

必須。

検索するクラスタの名前。
Node Pool Name

必須。

GKE クラスタのノードプール名。
Node Count

必須。

GKE クラスタ ノードプールのノード数。
Wait for cluster configuration change operation to finish

省略可。

選択すると、アクションはクラスタ構成変更オペレーションの結果を待機します。

デフォルトでは選択されていません。

アクションの出力

[ノード数の設定] アクションは、次の出力を提供します。

アクションの出力タイプ 対象
ケースウォールのアタッチメント 利用不可
ケースウォールのリンク 利用不可
ケースウォール テーブル 利用不可
拡充テーブル 利用不可
JSON の結果 利用可能
出力メッセージ 利用可能
スクリプトの結果 利用可能
JSON の結果

次の例は、ノード数の設定アクションを使用した場合に受信される JSON 結果の出力を示しています。

{
    "name": "operation-OPERATION_ID",
    "zone": "europe-central2-a",
    "operationType": "SET_NODE_POOL_SIZE",
    "status": "RUNNING",
    "selfLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/operations/operation-OPERATION_ID",
    "targetLink": "https://container.googleapis.com/v1/projects/PROJECT_ID/zones/europe-central2-a/clusters/cluster-test/nodePools/default-pool",
    "startTime": "2021-08-15T11:53:55.904254615Z"
}
出力メッセージ

[ノード数の設定] アクションは、次の出力メッセージを返すことがあります。

出力メッセージ メッセージの説明

Successfully created cluster node pool configuration change operation.

Failed to execute the action because API returned error, please see action logs LOG_SNIPPET.

Operation OPERATION_NAME is still in progress, current status: STATUS.

Operation OPERATION_NAME successfully finished.

Operation OPERATION_NAME failed to complete with the following status: STATUS.

 アクションが成功しました。

Provided cluster location CLUSTER_LOCATION does not exist.

Provided cluster name CLUSTER_NAME was not found.

Provided node pool name NODE_POOL_NAME was not found.

Invalid value was provided for the node count: NODE_COUNT. The value should be a positive number.

Error executing action "Set Node Count". Reason: ERROR_REASON

操作に失敗しました。

サーバーへの接続、入力パラメータ、または認証情報を確認してください。
スクリプトの結果

次の表に、ノード数の設定アクションを使用した場合のスクリプト結果出力の値を示します。

スクリプトの結果名 値
is_success True または False

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。