GKE 安全性最佳实践

本文档介绍了 Google Cloud中的典型 Google Kubernetes Engine (GKE) 架构。此外，它还列出了适用于 GKE 工作负载的安全最佳实践。

架构

下图显示了 Google Cloud 典型 GKE 部署中的 服务。

GKE 工作负载的示例架构。

该图包含以下部分：

  • GKE 是 Kubernetes 开源容器编排平台的托管实现，可让您运行容器化应用。GKE 集群包含您的应用 Pod 和 Policy Controller。Policy Controller 可帮助您在 Kubernetes 集群上强制执行政策。

  • Artifact Registry 可简化容器和 应用开发与部署流程，改进协作，并有助于 提高应用的安全性与可靠性。

  • Cloud Audit Logs 会跟踪用户在您的环境中执行的操作，从而增强问题排查、审核和突发事件响应能力。

  • 借助 Cloud Billing 信息中心和提醒，您可以 查看 GKE 工作负载的使用情况和结算信息。

  • 借助 Cloud Build，您可以在 上构建、测试和部署无服务器 CI/CD 平台 Google Cloud。

  • Cloud Identity 统一了身份、访问权限、 应用和管理 Google Cloud。

  • Cloud Key Management Service 可创建和管理 加密密钥。

  • Cloud Run functions 可自动执行 任务、触发作业、与其他 服务集成，并构建事件驱动型开发流水线。

  • Cloud Service Mesh 可让 Kubernetes 服务 相互通信。

  • Cloud Storage 可存储 容器和应用运行所需的数据。

  • Cloud DNS 可注册、管理和提供您的 网域。

  • 借助 Identity and Access Management (IAM)，您可以控制哪些人可以对 GKE 工作负载资源执行 特定操作，例如 创建、修改或删除这些资源。

  • 组织政策服务 可集中管理和强制执行整个 Google Cloud 环境中的政策。组织政策有助于确保组织内的项目和资源配置一致且符合安全要求。

  • Pub/Sub 可在工作流中实现高效的通信 和自动化。

  • Resource Manager 可帮助 您对 GKE 工作负载的逻辑组件进行分组和管理。

  • Secret Manager 可帮助您保护 GKE 项目中使用的敏感数据和凭据 。

  • Security Command Center 可帮助您保护云组织、GKE 工作负载 以及您存储在 Google Cloud中的数据。Security Command Center 提供以下各项：

    • 集中式安全管理
    • 威胁检测和突发事件响应
    • 自动安全评估
    • 合规性和监管报告
    • 安全建议和最佳实践

  • 虚拟私有云 (VPC) 可在安全环境中将 GKE 资源与互联网隔离开。此网络配置有助于保护敏感数据和工作负载，防止未经授权的访问和潜在的网络攻击。

  • Cloud VPN 或 Cloud Interconnect 让您可以在本地 基础架构和 GKE 环境之间建立安全的网络连接。 Cloud VPN 或 Cloud Interconnect 可帮助您在私有网络与 Google Cloud 资源之间实现无缝的 数据传输和通信。对于需要访问本地数据以进行模型训练或将模型部署到本地资源以进行推理等场景，请考虑使用此集成。

GKE 工作负载的最佳实践

本部分提供了指向使用 GKE 的工作负载的最佳实践的链接。

后续步骤