Chiffrer les métriques de vos applications

Toutes les données de métriques doivent être chiffrées en transit pour garantir la sécurité. Le composant de surveillance de l'appliance Google Distributed Cloud (GDC) air-gapped fournit le chiffrement et l'authentification en transit via l'authentification mutuelle TLS (mTLS). La méthode mTLS vérifie l'identité des deux parties dans une connexion réseau, en confirmant qu'elles sont bien celles qu'elles prétendent être.

Cette page explique comment configurer mTLS pour votre serveur de métriques.

Avant de commencer

Pour gérer les ressources personnalisées MonitoringTarget, demandez les autorisations nécessaires à votre administrateur.

Rôles IAM requis

Contactez votre administrateur IAM de projet pour demander les rôles suivants :

  • Créateur MonitoringTarget (monitoringtarget-creator) : permet de créer des ressources personnalisées MonitoringTarget dans l'espace de noms du projet.
  • Éditeur MonitoringTarget (monitoringtarget-editor) : permet de modifier ou de supprimer des ressources personnalisées MonitoringTarget dans l'espace de noms du projet.
  • Lecteur MonitoringTarget (monitoringtarget-viewer) : permet d'afficher des ressources personnalisées MonitoringTarget dans l'espace de noms du projet.

Après avoir obtenu les autorisations nécessaires, procédez comme suit avant d'activer le chiffrement des métriques :

  1. Déployez votre serveur de métriques.
  2. Collectez les métriques de vos charges de travail.

  3. Assurez-vous que votre ressource personnalisée MonitoringTarget affiche l'état Ready, comme dans l'exemple suivant :

    apiVersion: monitoring.gdc.goog/v1
kind: MonitoringTarget
[...]
status:
  conditions:
  - lastTransitionTime: "2023-10-27T15:27:51Z"
    message: ""
    observedGeneration: 1
    reason: Ready
    status: True
    type: Ready

  4. Interrogez et affichez les métriques dans des tableaux de bord pour vérifier que votre serveur de métriques envoie les données attendues.

Installer le certificat

Votre charge de travail doit utiliser un certificat généré automatiquement lorsque vous activez mTLS sur la ressource personnalisée MonitoringTarget. Ajoutez un volume et un point d'installation de volume pour ce certificat à l'aide du modèle suivant :

apiVersion: apps/v1
kind: Deployment # or StatefulSet
metadata:
  name: "SERVICE_NAME"
spec:
  template:
    spec:
      containers:
        - name: "CONTAINER_NAME"
          volumeMounts:
          - mountPath: "/etc/ssl/MONITORING_TARGET_NAME-cert"
            name: "MONITORING_TARGET_NAME-cert"
            readOnly: true
      volumes:
      - name: "MONITORING_TARGET_NAME-cert"
        secret:
          secretName: "MONITORING_TARGET_NAME-cert"
  [...]

Remplacez les éléments suivants :

  • SERVICE_NAME: nom de votre objet Deployment ou StatefulSet.
  • CONTAINER_NAME: nom du conteneur dans lequel vous ajoutez le point d'installation du volume.
  • MONITORING_TARGET_NAME: nom de votre ressource personnalisée MonitoringTarget. Le nom du secret est basé sur ce nom. Par exemple, une ressource my-mon-target crée un nom de secret my-mon-target-certsecret.

Livrer des métriques

Votre serveur de métriques doit diffuser des métriques à partir d'un serveur HTTP compatible avec mTLS. Vous pouvez chiffrer les métriques dans l'un des deux scénarios suivants :

  • Pour les applications dont vous êtes propriétaire : modifiez le code source pour prendre en charge mTLS et configurez le serveur de métriques avec le certificat mTLS.
  • Pour les applications dont vous n'êtes pas propriétaire : consultez la documentation de l'application pour activer un point de terminaison de métriques HTTPS. Appliquez la configuration nécessaire, par exemple en configurant des arguments de ligne de commande ou en déployant un fichier config.

Activer la collecte de métriques mTLS

Ajoutez le libellé suivant à la section metadata de votre ressource personnalisée MonitoringTarget pour activer la collecte de métriques chiffrées :

monitoring.gdc.goog/enable-mtls: "true"

La ressource personnalisée doit ressembler à l'exemple suivant :

  apiVersion: monitoring.gdc.goog/v1
  kind: MonitoringTarget
  metadata:
    namespace: my-project-namespace
    name: "SERVICE_NAME"
    labels:
      monitoring.gdc.goog/enable-mtls: "true" # Enable mTLS metrics collection
  spec:
    [...]

Pour vérifier que vous avez activé l'authentification mTLS, assurez-vous que votre ressource personnalisée MonitoringTarget affiche l'état Ready pour le certificat et le secret du certificat, comme dans l'exemple suivant :

apiVersion: monitoring.gdc.goog/v1
kind: MonitoringTarget
[...]
status:
  conditions:
  - lastTransitionTime: "2023-11-09T11:15:10Z"
    message: "admin,user-vm-1,user-vm-2,org-1-system"
    observedGeneration: 2
    reason: Ready
    status: "True"
    type: Ready
  - lastTransitionTime: "2023-11-09T11:14:43Z"
    message: "Certificate is ready"
    observedGeneration: 2
    reason: Ready
    status: "True"
    type: CertificateReady
  - lastTransitionTime: "2023-11-09T11:15:10Z"
    message: "Successfully created secret"
    observedGeneration: 2
    reason: Ready
    status: "True"
    type: CertificateSecretReady