GKE 安全性最佳做法

本文說明典型的 Google Kubernetes Engine (GKE) 架構，Google Cloud此外，這份文件也列出適用於 GKE 工作負載的安全性最佳做法。

架構

下圖顯示一般 GKE 部署中的 Google Cloud 服務。

GKE 工作負載的架構範例。

這張圖包含下列項目：

  • GKE 是 Kubernetes 開放原始碼容器自動化調度管理平台的代管實作，可讓您執行容器化應用程式。GKE 叢集包含應用程式 Pod 和 Policy Controller。Policy Controller 可協助您在 Kubernetes 叢集上強制執行政策。

  • Artifact Registry 可簡化容器和應用程式的開發及部署流程、提升協作效率，並協助改善應用程式的安全性和可靠性。

  • Cloud 稽核記錄會追蹤使用者在環境中執行的動作，有助於提升疑難排解、稽核和事件應變能力。

  • 您可以透過 Cloud Billing 資訊主頁和快訊，查看 GKE 工作負載的使用量和帳單。

  • Cloud Build 可讓您在 Google Cloud上建構、測試及部署無伺服器 CI/CD 平台。

  • Cloud Identity 整合了身分、存取權、應用程式和 Google Cloud的管理功能。

  • Cloud Key Management Service 會建立及管理加密金鑰。

  • Cloud Run functions 可自動執行工作、觸發作業、與其他服務整合，以及建構事件導向的開發管道。

  • Cloud Service Mesh 可讓 Kubernetes 服務彼此通訊。

  • Cloud Storage 會儲存容器和應用程式執行所需的資料。

  • Cloud DNS 可註冊、管理及提供網域。

  • 身分與存取權管理 (IAM) 可控管哪些使用者可以對 GKE 工作負載資源執行特定動作，例如建立、編輯或刪除資源。

  • 組織政策服務可集中管理及強制執行 Google Cloud環境的政策。組織政策可確保組織內部專案和資源的設定一致，並符合安全法規。

  • Pub/Sub 可在工作流程中實現有效率的通訊和自動化。

  • Resource Manager 可協助您將 GKE 工作負載的邏輯元件分組及管理。

  • Secret Manager 可協助您保護 GKE 專案中使用的機密資料和憑證。

  • Security Command Center 可協助您保護雲端機構、GKE 工作負載，以及儲存在 Google Cloud中的資料。Security Command Center 提供下列功能：

    • 集中式安全性管理
    • 威脅偵測與事件應變
    • 自動安全性評估
    • 法規遵循與監管報告
    • 安全性建議與最佳做法

  • 虛擬私有雲 (VPC) 可在安全環境中，將 GKE 資源與網際網路隔離開來。這項網路設定有助於保護機密資料和工作負載，避免未經授權的存取和潛在的網路攻擊。

  • Cloud VPN 或 Cloud Interconnect 可讓您在地端部署基礎架構與 GKE 環境之間建立安全的網路連線。Cloud VPN 或 Cloud Interconnect 可協助您在私人網路和 Google Cloud資源之間，順暢地傳輸資料及通訊。如果需要存取地端部署資料來進行模型訓練，或是將模型部署至地端部署資源進行推論，建議採用這項整合功能。

GKE 工作負載的最佳做法

本節提供連結，說明使用 GKE 的工作負載最佳做法。

後續步驟